去年秋天，网站一个做跨境电商的安全朋友半夜给我打电话，说网站打不开了。防护方案我让他查服务器日志，网站发现有人用几千个IP在撞他的安全后台登录接口。密码是防护方案弱口令，差一点就被撞开了。网站他问我怎么办，安全我说先别急着买高防，防护方案把最基础的网站三件事做了再说。

第一件事：把登录入口藏起来。安全绝大多数CMS系统默认后台地址是防护方案 /admin 或 /wp-login.php，攻击者写个脚本就能扫到。网站改个路径，安全或者加一层HTTP Basic认证，防护方案能挡掉八成自动化扫描。这不是什么高深技术，就是增加一点攻击成本。我自己的做法是后台只允许特定IP段访问，配合一个随机生成的URL路径，效果立竿见影。

第二件事：数据库别用root跑。很多人图省事，WordPress的wp-config.php里直接写root账号密码。一旦Web应用被注入，攻击者拿到数据库权限就是整个服务器的权限。给每个站点单独建库、单独建用户，权限只给SELECT、INSERT、UPDATE、DELETE这四项，够用了。DROP和FILE权限坚决不给。

第三件事：文件上传目录禁止执行脚本。这个坑太常见了。攻击者上传一个.jpg，里面裹着PHP代码，然后通过路径访问直接执行。Nginx里加一行 location ~* /uploads/.*\.php$ { deny all; }，Apache用.htaccess把 php_flag engine off 写进去。三分钟的事，能堵住一个高危漏洞。

这三件事做完，朋友的站再没出过登录爆破的问题。但安全防护不止于此。WAF要不要上？要，但别指望它万能。我见过太多人买了云WAF就以为万事大吉，结果规则没调，误杀正常用户不说，绕过方法一抓一大把。WAF的正确用法是记录模式先跑一周，看清楚正常流量长什么样，再切拦截模式。规则集要定期更新，但别开自动拦截所有高危规则——有些业务逻辑本身就长得像攻击。

HTTPS这块，2024年了还在用HTTP的站基本等于裸奔。Let's Encrypt免费证书申请自动化，certbot一条命令搞定。HSTS头记得加上，防止SSL剥离。但有个细节：HSTS的max-age别一上来就设一年，先设300秒测试，确认全站HTTPS没问题再逐步加长。我见过设了一年结果子域名证书过期导致整个域无法访问的案例。

日志和监控是最后一道防线。不用搞多复杂，每天花五分钟看下access.log里状态码分布。突然出现大量404，可能有人在扫目录；大量401，可能有人在爆破；单个IP请求量异常，可能在被CC。这些信号比任何告警系统都直接。我习惯用 goaccess 实时看日志，终端里跑着，有异常一眼就能发现。

最后说个反直觉的：别过度依赖安全插件。WordPress生态里一堆“全能安全插件”，装了三四个，结果插件本身成了漏洞源。选一个维护活跃的，配置好核心功能就够了。剩下的精力放在系统更新和最小权限原则上，收益更高。安全是个持续过程，没有一劳永逸的方案。今天堵住的洞，明天可能就有新的绕过方法。保持关注，及时打补丁，比任何单一措施都重要。