在网站运维中，WordPress 因其强大的扩展性和易用性成为全球最流行的建站程序，但同时也成为黑客攻击的主要目标。对于使用宝塔面板（BT）搭建的 WordPress 站点，通过 Nginx 配置文件进行精细化安全控制和性能优化，能够极大提升网站的防御能力和访问速度。
本文将为您详细讲解一套专为宝塔面板用户设计的 WordPress 终极安全与性能防护代码段，包含安全规则、伪静态配置以及静态资源缓存优化。您将学会如何通过简单的配置文件引入，为您的 WordPress 站点筑起一道坚固的防线。
一、安全规则详解
我们首先将安全规则保存为独立配置文件 wp-nginx-safety-rule.conf。以下是每条规则的用途解析：
1. 拦截垃圾爬虫
if ($http_user_agent ~* (DotBot|SirdataBot|SemrushBot|MJ12bot|Rogerbot|Scrapy|python-requests|coccocbot-web|AhrefsBot|MegaIndex|ZoominfoBot|zgrab|Nessus|Nmap|OpenVAS|Go-http-client)) {
return 403;
}- 作用：拒绝已知的恶意爬虫、SEO 扫描器、数据采集工具和漏洞扫描器访问，防止资源被滥用或信息被收集。
- 注意：已排除 Google、Bing、百度等主流搜索引擎爬虫，不会影响 SEO 收录。如果需要更严苛的垃圾爬虫拦截策略可参考：用 Nginx 拦截垃圾爬虫解决方案。
2. 全局安全响应头
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options SAMEORIGIN;
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
# add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; # 如果启用 HTTPS 建议开启（宝塔面板已默认启用的请保持注释符）- 作用：
X-Content-Type-Options：阻止浏览器进行 MIME 类型嗅探，降低 XSS 风险。X-Frame-Options：防止站点被嵌入到 iframe 中，避免点击劫持。X-XSS-Protection：开启浏览器内置的 XSS 过滤。Referrer-Policy：控制 referer 信息的传递，保护隐私。Strict-Transport-Security（HSTS）被注释，如需启用请确保站点已全站 HTTPS 且配置文件其它处未进行设置。
3. 禁止在敏感目录执行 PHP
location ~* /(?:uploads|files|wp-content/languages)/.*\.php$ {
deny all;
}- 作用：防止攻击者上传 PHP 后门到
uploads、files或语言目录后执行。
4. 禁止直接运行插件和主题目录下的 PHP 文件
location ~* ^/wp-content/(?:plugins|themes)/.*\.php$ {
deny all;
}- 作用：拦截对插件和主题目录下 PHP 文件的直接访问，阻止已知漏洞的利用。
- 例外：如果某些插件（如 AJAX 功能）需要直接访问其 PHP 文件，可注释此块。
5. 禁止访问压缩包、数据库导出、日志及备份文件
location ~* \.(zip|rar|7z|tar|gz|bz2|xz|sql|log|bak|swp|dist|inc|conf|old|temp|original)$ {
deny all;
access_log off;
log_not_found off;
}- 作用：阻止常见备份文件、日志、配置文件被下载，避免敏感信息泄露。
6. 核心敏感文件与路径拦截
location = /xmlrpc.php { deny all; }
location = /wp-config.php { deny all; }
location = /wp-admin/install.php { deny all; }
location ~* /(?:readme|license|changelog)\.(html|txt)$ { deny all; }- 作用：
- 关闭
xmlrpc.php，防止暴力破解和 DDOS 攻击。 - 保护
wp-config.php配置文件。 - 禁止执行
install.php，避免二次安装。 - 隐藏 WordPress 默认的
readme.html等版本信息文件。
7. 禁止在 wp-includes 目录下运行 PHP
location ~ ^/wp-includes/[^/]+\.php$ { deny all; }
location ~ ^/wp-includes/js/tinymce/langs/.+\.php$ { deny all; }- 作用：除极少数合法 PHP 文件外，阻止对
wp-includes目录下 PHP 文件的直接访问，减少攻击面。
8. 隐藏文件、系统配置文件及 .ini 保护
location ~* /\.(ht|git|svn|env|ini|user\.ini|config) {
deny all;
}- 作用：禁止访问隐藏文件（如
.htaccess）、版本控制目录、环境变量文件以及 PHP 配置文件，防止信息泄露。
二、部署步骤
步骤1：创建安全规则配置文件
- 使用宝塔面板的「文件」管理器，进入目录
/www/wwwroot/。 - 新建文件，命名为
wp-nginx-safety-rule.conf。 - 将上述 安全规则 全部复制粘贴到该文件中，保存；或下载已编辑好的 wp-nginx-safety-rule.conf 文件。
步骤2：引入安全规则到网站配置
- 在宝塔面板中打开「网站」列表，找到需要加固的 WordPress 站点，点击「设置」。
- 进入「配置文件」选项卡。
- 找到
#PHP-INFO-START这一行，在它的 上方 插入以下代码：
include /www/wwwroot/wp-nginx-safety-rule.conf;保存配置。
注意：如果 wp-nginx-safety-rule.conf 保存的路径并非
/www/wwwroot/，请根据实际路径修改 include 语句。
步骤3：配置伪静态与静态资源缓存优化
- 在站点设置中，点击「伪静态」选项卡。
- 清空原有内容，将以下代码完整粘贴进去：
# ==========================================================
# WordPress 伪静态与静态资源缓存优化
# ==========================================================
# 1. WordPress 核心伪静态 (Permalink)
location / {
try_files $uri $uri/ /index.php?$args;
}
# 2. 静态资源缓存优化 (高性能、现代化配置)
location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|webp|avif|woff|woff2|ttf|otf)$ {
# 延长缓存时间到 365 天，WordPress 插件更新通常带版本号，不怕缓存不更新
expires 365d;
# 关闭日志，减少磁盘 I/O 开销
access_log off;
log_not_found off;
# immutable 告诉浏览器：这个文件永远不会变（除非 URL 变了），不用再发请求校对
add_header Cache-Control "public, max-age=31536000, immutable";
add_header Link "<$scheme://$host$request_uri>; rel=\"canonical\"";
# 允许跨域访问（如果你的静态资源/图片需要被 CDN 或其他站点引用）
# add_header Access-Control-Allow-Origin "*";
}- 保存伪静态配置。
步骤4：重载 Nginx 服务
- 在宝塔面板右上角点击「重启」→「重载 Nginx」，或通过 SSH 执行
nginx -s reload使配置生效。
三、验证与测试
配置完成后，建议进行以下验证：
- 检查配置文件语法
在宝塔的「配置文件」选项卡中点击「检查语法」，确保无错误。 - 测试敏感文件访问
尝试在浏览器中访问以下 URL（将域名替换为您的实际域名）：
https://yourdomain.com/xmlrpc.php→ 应返回 403 禁止访问。https://yourdomain.com/wp-config.php→ 应返回 403。https://yourdomain.com/wp-content/uploads/test.php→ 即使文件存在，也应返回 403。
- 测试静态资源缓存头
使用浏览器开发者工具（F12）→ Network，刷新页面，查看任意 JS/CSS/图片资源的响应头，应包含：
Cache-Control: public, max-age=31536000, immutableExpires时间约为一年后
- 测试伪静态
确保文章页面、分类页等都能正常访问，且 URL 格式符合您在 WordPress 后台设置的固定链接。
四、常见问题与注意事项
Q1：引入配置文件后网站打不开（500错误）？
- 检查
include路径是否正确，是否缺少分号。 - 检查安全规则文件中是否存在语法错误（例如中文字符、多余的空格）。可复制到文本编辑器中检查编码（建议 UTF-8 无 BOM）。
Q2：某些插件功能失效（如前端 AJAX 请求被拒绝）？
- 可能是因为规则 4（禁止直接运行插件目录下的 PHP）影响了插件的合法请求。您可以尝试注释掉规则 4 中的
deny all;，或调整匹配规则为更精确的排除。
Q3：开启 HSTS 后网站无法访问？
- 规则中
Strict-Transport-Security默认注释。若要启用，请确保网站已全站 HTTPS，且无子域名混用 HTTP。一旦启用，浏览器将强制 HTTPS 访问，若证书问题可能导致无法回退。
Q4：如何排除某些合法爬虫？
- 如果需要放行某个爬虫（例如特定 SEO 工具），可在规则 1 的 user-agent 正则表达式中将其移除。
Q5：缓存设置是否会影响用户看到最新内容？
- WordPress 通常通过版本号（如
style.css?ver=7.0）更新静态资源，因此设置一年缓存不影响内容更新。若使用不包含版本号的资源，可能需要调整缓存策略。
五、结语
通过以上配置，您的 WordPress 站点在宝塔面板 Nginx 环境下已经获得了多项安全保护和性能优化：
- 安全方面：拦截了恶意爬虫、敏感文件访问、目录执行权限，并添加了 HTTP 安全头。
- 性能方面：通过伪静态和强缓存策略，大幅提升静态资源加载速度，减少服务器负担。
本套规则兼顾了常见安全风险与性能需求，适用于大多数 WordPress 站点。当然，安全是一个持续的过程，建议您定期更新 WordPress 核心、主题 和 插件，并关注服务器日志，及时调整规则。还可额外选择一款 WordPress 安全插件，如：Wordfence Security Premium、Solid Security Pro、Loginizer Pro 等。
如果您在配置过程中遇到任何问题，欢迎参考本文的常见问题部分，或在服务社区中交流。