说明：本站的技术类文章，均为内部学习交流使用，并不能代表产品厂家，或者是第三方的观点，非专业技术类人员，请勿对服务器设备进行操作，以免造成设备不可使用或数据丢失。同时凯铧互联小编建议用户定期对云服务器数据进行备份保存！

---

北京凯铧互联科技有限公司（简称凯铧互联）由多名前阿里云资深技术专家创立,核心员工来自阿里云、腾讯云等,作为阿里云重要的合作伙伴,专注于为企业用户提供云计算及云计算的解决方案。阿里云优惠购买专线：158-0160-3153（微信同步）

问题场景：
使用.htaccess的一些技巧提高 WordPress 安全性

凯铧互联小编回复：

1、什么是.htaccess文件？
‌.htaccess 是 Apache 服务器中的一种分布式配置文件‌，全称 Hypertext Access，用于在特定目录及其子目录内调整网站配置，无需修改主配置文件。‌‌
.htaccess 只用于php的Apache的架构，对于Nginx架构不支持.htaccess。所以本文只支持在Apache架构下的虚拟主机使用。如您不能确认主机是什么架构，可以先咨询我方客服。
对于 WordPress 网站，当您选择更改永久链接的设置时，它会自动创建。但它通常是隐藏的，这意味着您在查看站点文件时不会自动看到它。如你使用的阿里云虚拟主机，可以在主机管理平台看到此文件，如不能找到可以将网站FTP全部下载到本地电脑在观看。

2、如何创建 .htaccess 文件？
请使用记事本或您最喜欢的文本编辑器来创建一个，如htaccess.text，将其命名为 .htaccess

3、开始在 WordPress上使用 .htaccess文件
现在将此文件上传到您站点的根目录，然后将其重命名为 .htaccess，您需要确保文件具有正确的权限，将此 .htaccess 文件的权限设置为 644。

现在我们可以开始调整这个文件，为您的 WordPress 网站添加功能和安全性。

注意：在行首使用数字符号# 进行注释。该行上的任何内容均不被视为代码，仅用作提醒以保持一切井井有条。

注意：一次做一个更改，并在每次更改之间刷新您的站点，以确保没有任何中断。这样，如果出现问题，您就可以确切地知道需要修复哪一行代码。

4、如何打开和使用这些 .htaccess文件
首先，找到 .htaccess 文件并右键单击它并单击编辑。如果不能在线编辑就将此文件下载到本地用记事本程序打开，修改后保存后在上传到主机上。

5、保护您的 .htaccess 文件免受黑客攻击
您应该做的第一件事是保护您的 .htaccess 文件，在我们处理它的同时，为 wp-config.php、php.ini和错误日志添加保护。只需将此代码添加到 .htaccess 文件中：

<FilesMatch “^.*(error_log|wp-config\.php|php.ini|\.[hH][tT][aApP].*)$”> Order deny,allow Deny from all
注意：检查您是否有 php.ini 或 php5.ini 并在上面的代码中使用适当的文件名。

6、禁用文件夹浏览
现在让我们禁用文件夹浏览。任何人都可以在地址栏中输入您的域和目录，然后查看其中的所有内容。使用 WordPress，这很容易做到，因为所有 WordPress 站点都具有相同的默认结构，所以我们要阻止任何潜在的黑客访问您网站上所有内容的简单布局：

# disable directory browsing
7、阻止用户名枚举
用户名枚举是指黑客在您的网站上获取作者的用户名。通过添加以下代码不允许这样做：

RewriteCond %{QUERY_STRING} author=d RewriteRule ^ /? [L,R=301]
8、防止访问 wp-includes 目录中的重要文件您的 wp-includes 目录通常会成为目标，因为这里有运行任何 WordPress 站点所需的非常重要的文件。让我们使用以下代码防止潜在的黑客访问它：

<IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteRule ^wp-admin/includes/ – [F,L] RewriteRule !^wp-includes/ – [S=3] RewriteRule ^wp-includes/[^/]+\.php$ – [F,L] RewriteRule ^wp-includes/js/tinymce/langs/.+\.php – [F,L] RewriteRule ^wp-includes/theme-compat/ – [F,L]
9、限制对重要 PHP 文件的访问
您可以添加以下代码以防止直接访问编辑您的主题和插件中的PHP 文件，从而使潜在黑客更难向其中添加恶意代码：

RewriteCond %{REQUEST_URI} !^/wp-content/plugins/file/to/exclude\.php RewriteCond %{REQUEST_URI} !^/wp-content/plugins/directory/to/exclude/ RewriteRule wp-content/plugins/(.*\.php)$ – [R=404,L] RewriteCond %{REQUEST_URI} !^/wp-content/themes/file/to/exclude\.php RewriteCond %{REQUEST_URI} !^/wp-content/themes/directory/to/exclude/ RewriteRule wp-content/themes/(.*\.php)$ – [R=404,L]
10、防止脚本注入
接下来，让我们通过添加以下代码来阻止它们插入脚本注入，这通常是通过 _REQUEST 和 GLOBALS 完成的：

Options +FollowSymLinks RewriteEngine On RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR] RewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR] RewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2}) RewriteRule ^(.*)$ index.php [F,L]
通过将所有这些添加到您的 .htaccess 文件中，您将设置许多障碍，黑客必须克服这些障碍才能弄乱您的网站。但是，使用这些 .htaccess 提示调整您的网站只是提高 WordPress 网站安全性的众多方法之一。您可以对 wp-config 文件进行调整，或者您可以添加安全插件。

选择一家专业的网站建设公司对于提升品牌形象具有重要的作用。通过与专业的团队合作，企业可以获得高质量的网站设计和开发，定制化的解决方案以及全面的技术支持和维护服务。所以做网站建议大家联系凯铧互联。

今天的分享就到这里啦，若您需要帮助可以直接扫描添加联系下方我们客服微信号，阿里云代理商凯铧互联专业技术团队为您提供全面/便捷/专业的7x24技术服务。

为什么选择我们：北京凯铧互联科技有限公司（简称凯铧互联）由多名前阿里云资深技术专家创立,核心员工来自阿里云、腾讯云等,作为阿里云,腾讯云重要的合作伙伴,专注于为企业用户提供云计算及云计算的解决方案。做为一家综合性方案商,凯铧互联向各行业用户提供基于云计算的各种解决方案。为用户获得优质服务的同时,秉承"专业规划、周到服务"的服务理念,根据用户的实际情况,充分考虑各种网络资源的特点及功效,为用户量身定做一套适合于其实际应用需求的网络应用方案。帮助用户利用互联网的力量展开新的营销方式,并大大缩短了项目实施周期,获得用户的一致好评。

凯铧互联专属服务：阿里云代理商凯铧互联为每一个用户提供专属网络架构服务，提供7x24一对一技术服务，远程协助等。同时还能提供阿里云服务器ECS、阿里云CDN等产品等的专属折扣优惠购买，让用户能够便捷、更省的上云。如果您需要详细的为您的企业选择最适合自己的服务器配置类型，请您联系客服，专业人员为您提供服务，同时还能获得更多的优惠折扣，电话专线：136-5130-9831，QQ:3398234753。