企业官网建设流程全解析

1. 项目概述：为什么用宝塔面板部署Typecho，而不是纯命令行？

Typecho是个轻量、干净、专注写作的PHP博客系统，文件少、依赖简单、响应快——我最早在2015年就用它搭过个人技术笔记站，那时候连Redis都没配，全靠SQLite跑得飞起。但今天再部署，光靠scp传文件、手动改nginx.conf、查php-fpm端口、调open_basedir限制，已经不是效率问题，而是运维成本问题。尤其当你同时维护3台VPS、4个子域名、还要对接CDN和SSL自动续签时，手敲命令的容错率极低：一个/漏写，location ~ \.php$块就失效；fastcgi_pass写成127.0.0.1:9000而PHP-FPM监听的是/tmp/php-cgi-74.sock，页面直接502；更别说.user.ini权限被宝塔自动重置、disable_functions里误删了shell_exec导致插件失灵……这些都不是理论风险，是我2023年Q3在客户服务器上连续踩过的坑。

所以“Linux+宝塔面板”这个组合，本质不是偷懒，而是把确定性从人脑转移到工具链里。宝塔不是黑盒，它所有操作都生成可审计的配置文件（/www/server/panel/vhost/下的nginx和apache目录）、所有服务启停都封装为systemctl指令（bt restart背后是systemctl restart nginx && systemctl restart php-fpm-74），你随时能切回命令行接管——这恰恰是它比某些“一键脚本”更可靠的地方。而且它对Typecho这种纯PHP+MySQL架构的支持极为成熟：建站向导里直接有Typecho模板，数据库自动创建带前缀的表，伪静态规则内置typecho专用版，连config.inc.php里最易出错的__TYPECHO_DB_PORT__字段都帮你填好默认值。这不是替代Linux能力，而是让Linux能力聚焦在真正需要深度定制的地方——比如我上周给一个外贸客户调nginx的client_max_body_size应对大图上传，或者用strace追查某个插件的fopen失败原因，这些才是Linux老手该花时间的地方。

关键词“Linux”在这里不是泛指操作系统，而是特指稳定发行版的生产环境实践：我默认用CentOS 7.9（EOL前最后稳定版）或Ubuntu 22.04 LTS，拒绝Arch、Fedora等滚动更新系统；“宝塔面板”也不是指最新版，而是锁定v8.0.x系列——v7.9在2023年曝出过/www/server/panel/data/user.json未授权读取漏洞，v8.1开始强制绑定手机且部分插件收费，v8.0.5是目前免费功能完整、安全补丁齐全、社区教程最丰富的平衡点；“Typecho”则必须用官方GitHub release页下载的1.2.1正式版（2022年12月发布），跳过所有第三方打包镜像，因为曾有镜像站混入篡改的install.php后门。这三者组合，不是随便拼凑的热词，而是一条经过上百次真实部署验证的、兼顾安全性、可维护性与交付速度的最小可行路径。

2. 整体部署思路与方案选型逻辑

2.1 为什么不用Docker？为什么不用LNMP一键包？

先说Docker：Typecho本身确实能容器化，但生产环境真不推荐。我试过用docker-compose.yml拉起nginx:alpine+php:7.4-apache+mysql:5.7三容器，表面看很酷，但实际遇到三个硬伤：第一，Typecho的install.php安装向导在容器内访问http://localhost会失败，必须暴露宿主机端口并反复修改config.inc.php里的__TYPECHO_SITE_URL__，调试成本远超预期；第二，宝塔的可视化文件管理、日志实时查看、SSL证书一键申请等功能，在容器里全部失效，你得回到docker logs -f和docker exec -it命令里硬扛；第三，也是最关键的——当客户要求“把旧博客数据迁过来”，你需要把/www/wwwroot/typecho/usr/uploads/整个目录拷进容器卷，再手动chown -R www:www，而宝塔面板点两下“复制文件”+“设置权限”就搞定。Docker适合微服务拆分，不适合Typecho这种单体PHP应用的快速交付。

再说LNMP一键包：如军哥LNMP或OneinStack。它们优势是纯命令行、无GUI、资源占用低，但代价是学习曲线陡峭。比如LNMP的./install.sh脚本，要你提前决定PHP版本（7.4还是8.0？Typecho 1.2.1官方只兼容7.4）、MySQL分支（原生MySQL还是Percona？）、是否启用OPcache——选错一个，后续就得重装。更麻烦的是故障排查：nginx报502，你要依次查/usr/local/nginx/conf/vhost/typecho.conf语法、/usr/local/php/etc/php-fpm.conf进程数、/var/log/php-fpm/www-error.log错误日志，三套日志路径不同、格式不一。而宝塔把所有日志统一到/www/wwwlogs/typecho.error.log，点击面板上的“网站”→“日志”就能实时刷新，错误行高亮显示，连PHP message: PHP Warning: Use of undefined constant xxx这种警告都自动标红。对中小团队来说，省下的2小时排错时间，足够多优化3个SEO关键词。

2.2 宝塔面板版本与Linux发行版的匹配策略

宝塔面板对Linux发行版的支持不是均质的。我实测过6种组合，结论很明确：

为什么CentOS 7.9仍是首选？不是情怀，是生态确定性。宝塔官网文档、社区教程、甚至官方QQ群答疑，90%案例都基于CentOS 7。比如bt 14开启防火墙，CentOS 7下直接生效；Ubuntu 22.04则需先ufw allow 80,443,20,21再bt 14，否则面板打不开。再比如SSL证书自动续签，CentOS 7的crontab -e里宝塔自动生成0 2 * * * /root/.acme.sh/acme.sh --cron --home "/root/.acme.sh" > /dev/null，而Debian 11需要手动加--force参数。这些细节看似琐碎，但在凌晨三点处理客户投诉时，能少敲5个命令就是救命稻草。

2.3 Typecho部署模式选择：独立站点 vs 子目录 vs 子域名

Typecho支持三种URL结构，但生产环境只推荐独立站点（即https://blog.example.com），理由如下：

• 子目录模式（https://example.com/blog/）：看似省域名，实则埋雷。Nginx伪静态规则需额外处理location /blog/嵌套，config.inc.php中__TYPECHO_SITE_URL__必须精确到/blog/，稍有不慎就出现CSS路径404；更致命的是，当主站用WordPress或其他CMS时，/blog/目录可能被主站的.htaccess规则拦截，导致Typecho后台无法登录。

• 子域名模式（https://blog.example.com）：这是我的标准方案，但必须注意DNS解析层级。很多新手在宝塔添加站点时，直接填blog.example.com，却忘了在域名商后台添加blog的A记录指向服务器IP。结果面板显示“域名已绑定”，实际访问返回NXDOMAIN。正确流程是：先在域名商处添加blog子域名A记录（TTL设300秒），等待DNS全球生效（可用dig blog.example.com +short验证），再在宝塔“网站”→“添加站点”里输入blog.example.com。

• 独立站点（https://blog.example.com）：这里强调“独立”是指物理路径隔离。宝塔默认把所有网站放在/www/wwwroot/下，但Typecho必须独占一个目录，比如/www/wwwroot/blog.example.com/。绝不能和WordPress共用/www/wwwroot/example.com/，否则.user.ini权限冲突、php.ini配置互相覆盖。我见过最惨案例：客户把Typecho装在/www/wwwroot/example.com/typecho/，结果WordPress的wp-config.php被Typecho的install.php误删——因为两者都试图写入根目录的index.php。

3. 核心部署步骤与关键配置详解

3.1 Linux系统初始化：5个必须执行的预检动作

部署前，别急着装宝塔。先用SSH登录服务器，执行以下5步预检，能避开80%的后续故障：

1. 检查SELinux状态：

   sestatus

   如果输出enabled，必须关闭。Typecho的uploads/目录写入、install.php创建配置文件都受SELinux策略限制。执行：

   setenforce 0 sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config

   提示：setenforce 0是临时关闭，sed命令是永久关闭。重启后仍生效。别信“SELinux可以配置策略”的说法，Typecho没那么复杂，关掉最省心。

2. 验证防火墙放行端口：

   firewall-cmd --list-all

   确保ports:列表包含80/tcp、443/tcp、20/tcp（FTP数据）、21/tcp（FTP控制）。若缺失，执行：

   firewall-cmd --permanent --add-port=80/tcp firewall-cmd --permanent --add-port=443/tcp firewall-cmd --reload

   注意：宝塔面板的“安全”→“放行端口”功能，本质就是调用这些firewall-cmd命令。手动执行一次，确保底层通畅。

3. 检查磁盘空间与inode使用率：

   df -h && df -i

   Typecho虽小，但用户上传图片、插件缓存、日志文件会持续增长。/www分区剩余空间低于20%，或/www/wwwroot所在分区IUse%超过90%，必须清理。重点清理：

   • /www/wwwlogs/*.log（日志轮转未生效时）
   • /www/backup/site/（宝塔自动备份，保留最近3份即可）
   • /tmp/下过期的bt_*临时文件

4. 确认系统时间与时区准确：

   timedatectl status

   输出中System clock synchronized: yes必须为yes，否则Let's Encrypt证书申请会因时间偏差失败。若为no，执行：

   timedatectl set-ntp on ntpdate -u pool.ntp.org

   实操心得：我曾因VPS供应商NTP服务器故障，导致证书续签失败。加一行crontab -e定时校时更稳妥：0 */6 * * * /usr/sbin/ntpdate -u pool.ntp.org > /dev/null 2>&1

5. 升级基础软件包：

   # CentOS 7 yum update -y && yum upgrade -y # Ubuntu 22.04 apt update && apt upgrade -y

   升级后重启服务器（reboot），确保内核、glibc等底层组件最新。这是避免php-fpm段错误、nginx内存泄漏的基石。

3.2 宝塔面板安装与基础服务配置

宝塔安装命令官网已更新，但v8.0.5仍推荐用经典命令（兼容性更好）：

# CentOS 7 yum install -y wget && wget -O install.sh http://download.bt.cn/install/install_6.0.sh && sh install.sh # Ubuntu 22.04 wget -O install.sh http://download.bt.cn/install/install-ubuntu_6.0.sh && sudo bash install.sh

安装完成后，获取面板地址、用户名、密码（通常在SSH输出末尾）。首次登录必须修改密码，并禁用默认端口8888：

• 进入面板 → “面板设置” → “安全入口” → 开启“强制HTTPS”
• “面板端口”改为8889（避开常见扫描端口）
• “IP白名单”填你办公IP（如203.123.45.67），防止暴力破解

接着配置三大基础服务：

PHP配置（关键！Typecho 1.2.1仅支持PHP 7.4）：

• 进入“软件商店” → 搜索“PHP” → 安装7.4版本（勿选7.3或8.0）
• 点击“设置” → “配置修改” → 找到disable_functions行，删除shell_exec,passthru,exec,system（Typecho插件如“七牛云存储”需调用exec）
• “性能调整” → “PHP运行模式”选PHP-FPM（非Apache模块）
• “扩展” → 勾选opcache（加速PHP解析）、fileinfo（上传文件类型检测必需）、gd（图片缩略图生成）

MySQL配置（推荐MySQL 5.7）：

• “软件商店” → 安装MySQL 5.7（Typecho 1.2.1对MySQL 8.0的caching_sha2_password认证不兼容）
• “数据库” → “添加数据库” → 数据库名填typecho，字符集选utf8mb4（支持emoji）
• 创建用户时，“权限”选localhost（非%），杜绝远程连接风险

Nginx配置（伪静态是核心）：

• “网站” → “添加站点” → 域名填blog.example.com，根目录选/www/wwwroot/blog.example.com
• “设置” → “伪静态” → 选择“Typecho”模板（宝塔内置，内容为：

  if (!-e $request_filename) { rewrite ^(.*)$ /index.php?$1 last; }

  此规则确保所有请求（包括/archives/123.html）都由index.php统一处理，是Typecho路由的基础。

实操心得：伪静态规则必须放在location /块内，不能放在server顶层。我曾误将规则粘贴到server块开头，导致/robots.txt也走PHP解析，返回500错误。正确位置在/www/server/panel/vhost/nginx/conf/blog.example.com.conf文件中，找到location / {这一行，规则就写在它下面。

3.3 Typecho程序部署与安装向导实操

下载与解压必须用宝塔文件管理器，而非wget命令：

• 进入“文件” → “www/wwwroot/” → 右上角“上传” → 选择本地下载的typecho-1.2.1.zip
• 选中压缩包 → “解压” → 目标路径填/www/wwwroot/blog.example.com/
• 解压后，进入/www/wwwroot/blog.example.com/→ 全选除install.php外的所有文件 → “剪切” → 粘贴到/www/wwwroot/blog.example.com/根目录（即把typecho-1.2.1/里的内容提到上级）
• 删除空文件夹typecho-1.2.1/

此时目录结构应为：

/www/wwwroot/blog.example.com/ ├── admin/ ├── index.php ├── install.php ├── usr/ └── config.inc.php.example

启动安装向导：

• 浏览器访问http://blog.example.com/install.php
• 第一步“环境检测”：确保所有勾选为绿色（尤其GD Library、mbstring、curl）
• 第二步“数据库配置”：
  • 数据库地址：localhost（非127.0.0.1，宝塔MySQL默认绑定localhostsocket）
  • 数据库名：typecho（与之前创建的数据库名一致）
  • 用户名/密码：填数据库用户凭证
  • 表前缀：保持默认typecho_（避免与其他系统冲突）
• 第三步“管理员设置”：
  • 用户名：建议用邮箱（如admin@blog.example.com），避免admin等弱用户名
  • 密码：必须含大小写字母+数字+符号（宝塔PHP会校验password_hash强度）
  • 站点地址：填https://blog.example.com（务必带https，否则后台登录后跳转HTTP）

安装成功后，立即执行三重加固：

1. 删除install.php：在文件管理器中右键 → “删除”
2. 重命名config.inc.php：改为config.inc.php.bak（防止被恶意读取）
3. 设置usr/目录权限：选中usr/→ “权限” → 数字填755，用户组选www

注意：config.inc.php包含数据库密码，是最高危文件。宝塔的“文件防篡改”功能对它无效，必须物理删除或重命名。我见过黑客通过/usr/plugins/HelloWorld/Plugin.php的include漏洞读取config.inc.php，导致数据库被拖库。

3.4 SSL证书申请与HTTPS强制跳转

宝塔的SSL功能极其成熟，但必须按顺序操作：

• “网站” → 找到blog.example.com→ “SSL” → “申请”
• 域名验证方式选“DNS验证”（比文件验证更可靠，尤其CDN开启时）
• 填写DNS服务商API密钥（如阿里云，需提前在RAM里创建子账号并赋予权限）
• 点击“申请”，宝塔自动添加TXT记录，等待1-2分钟验证通过

证书申请成功后，启用HTTPS强制跳转：

• “设置” → “SSL” → 勾选“强制HTTPS”
• 此时宝塔会自动在Nginx配置中插入：

  if ($scheme != "https") { rewrite ^/(.*)$ https://$host/$1 permanent; }

  但此规则有缺陷：当访问http://blog.example.com/admin/时，会跳转到https://blog.example.com/admin/，但Typecho后台登录页可能因Cookie未标记Secure而失效。解决方案是：
  • 进入“网站” → “设置” → “配置文件”
  • 在server块中找到listen 80;那一行，在其下方添加：

    return 301 https://$host$request_uri;

  • 保存，重启Nginx

实操心得：Let's Encrypt证书90天有效期，宝塔默认每天凌晨2点自动续签。但需确保/root/.acme.sh/目录有写入权限。曾有客户因chmod 400 /root/.acme.sh/account.conf导致续签失败，手动执行/root/.acme.sh/acme.sh --renew -d blog.example.com --force并加--debug参数查日志才定位到权限问题。

4. 常见问题与排查技巧实录

4.1 502 Bad Gateway：从Nginx到PHP-FPM的链路排查

这是Typecho部署后最高频错误。排查必须按层级推进，不能跳步：

Step 1：确认Nginx是否收到请求

• 查Nginx错误日志：tail -f /www/wwwlogs/blog.example.com.error.log
• 若出现connect() to unix:/tmp/php-cgi-74.sock failed，说明PHP-FPM未启动或socket路径错误

Step 2：检查PHP-FPM服务状态

• systemctl status php-fpm-74
• 若显示inactive (dead)，执行systemctl start php-fpm-74
• 若启动失败，查/www/server/php/74/var/log/php-fpm.log，常见错误：
  • ERROR: unable to bind listening socket for address '/tmp/php-cgi-74.sock': Permission denied→ 权限问题，执行：

    chown www:www /tmp/php-cgi-74.sock chmod 666 /tmp/php-cgi-74.sock

  • ERROR: FPM initialization failed→php.ini语法错误，用php -c /www/server/php/74/etc/php.ini -m验证扩展加载

Step 3：验证PHP-FPM监听配置

• 查/www/server/php/74/etc/php-fpm.d/www.conf：
  • listen = /tmp/php-cgi-74.sock（必须与Nginx配置中的fastcgi_pass一致）
  • listen.owner = www（确保Nginx worker进程能读写socket）
  • pm.max_children = 30（根据内存调整，1G内存建议设20）

Step 4：终极测试——绕过Nginx直连PHP-FPM

• 创建测试文件/www/wwwroot/blog.example.com/test.php：

  <?php echo "PHP-FPM is working"; ?>

• 执行：curl --unix-socket /tmp/php-cgi-74.sock http://localhost/test.php
• 若返回PHP-FPM is working，证明PHP-FPM正常，问题在Nginx配置；若报错，则PHP-FPM未响应

排查技巧：我习惯在/www/wwwroot/blog.example.com/下放一个phpinfo.php，内容为<?php phpinfo(); ?>，通过http://blog.example.com/phpinfo.php直接查看PHP环境。这比查日志更快定位extension_dir、open_basedir等配置问题。

4.2 后台登录后空白或无限重定向

现象：输入账号密码后，页面刷新但停留在登录页，F12看Network发现/admin/index.php返回302跳转到/admin/index.php自身，形成循环。

根本原因：Typecho的config.inc.php中__TYPECHO_SITE_URL__与当前访问协议不匹配。

• 若config.inc.php写的是http://blog.example.com，但用户访问https://blog.example.com，Typecho会认为是跨域，强制跳回HTTP
• 解决方案：
  1. 进入宝塔文件管理器 → 编辑/www/wwwroot/blog.example.com/config.inc.php
  2. 找到define('__TYPECHO_SITE_URL__', 'http://blog.example.com');
  3. 改为define('__TYPECHO_SITE_URL__', 'https://blog.example.com');
  4. 清除浏览器缓存（Ctrl+Shift+R强制刷新）

注意：修改后必须重启PHP-FPM（systemctl restart php-fpm-74），否则PHP opcode cache会缓存旧配置。这是新手最容易忽略的步骤。

4.3 上传图片失败：Permission denied与MIME类型限制

上传时提示“上传失败，请检查服务器配置”，日志显示PHP Warning: move_uploaded_file(): Unable to move ... Permission denied。

Permission denied：

• usr/uploads/目录权限必须为755，所有者为www
• 执行：chown -R www:www /www/wwwroot/blog.example.com/usr/uploads/
• chmod -R 755 /www/wwwroot/blog.example.com/usr/uploads/

MIME类型限制：

• Typecho默认只允许jpg,jpeg,png,gif，上传webp会失败
• 修改/www/wwwroot/blog.example.com/var/Widget/Upload.php：
  • 找到$allowedTypes = array('image/jpeg', 'image/png', 'image/gif');
  • 添加'image/webp'
• 更安全的做法是在宝塔PHP设置中，修改upload_max_filesize = 10M、post_max_size = 10M、max_execution_time = 300

4.4 数据库连接失败：Access denied for user

错误信息：SQLSTATE[HY000] [1045] Access denied for user 'typecho_user'@'localhost'。

这不是密码错误，而是MySQL用户权限未生效。

• 进入宝塔“数据库” → 找到typecho数据库 → “权限” → 点击“localhost”右侧的“编辑”
• 确保“权限”列勾选“SELECT,INSERT,UPDATE,DELETE,CREATE,DROP,INDEX,ALTER,LOCK TABLES”
• 若仍失败，执行SQL命令：

  GRANT ALL PRIVILEGES ON typecho.* TO 'typecho_user'@'localhost'; FLUSH PRIVILEGES;

实操心得：宝塔数据库管理器的“权限”按钮有时不刷新，必须手动执行FLUSH PRIVILEGES。我把它写成Shell脚本放在/root/fix_db.sh，一键修复。

4.5 宝塔面板卡死或502：资源耗尽的应急处理

当面板打不开，bt命令无响应，首先判断是否内存耗尽：

• free -h：若available小于100M，立即执行：

  # 清理PHP OPcache systemctl restart php-fpm-74 # 清理Nginx缓存 rm -rf /www/wwwroot/blog.example.com/usr/cache/* # 重启宝塔 bt restart

• 若仍卡死，检查/www/server/panel/logs/error.log，常见错误：
  • OSError: [Errno 24] Too many open files→ 扩大文件描述符：

    echo "* soft nofile 65536" >> /etc/security/limits.conf echo "* hard nofile 65536" >> /etc/security/limits.conf ulimit -n 65536

  • Connection refused→ MySQL崩溃，执行systemctl restart mysqld

5. 运维进阶：自动化备份与Git工作流集成

5.1 宝塔计划任务实现Typecho全站自动备份

手动备份太危险。我用宝塔“计划任务”实现每日凌晨3点自动备份：

• “计划任务” → “添加计划任务”
• 任务类型：Shell脚本
• 任务名称：Typecho Daily Backup
• 执行周期：0 3 * * *（每天3点）
• 脚本内容：

  #!/bin/bash # 备份目录 BACKUP_DIR="/www/backup/typecho" SITE_DIR="/www/wwwroot/blog.example.com" DATE=$(date +%Y%m%d) # 创建备份目录 mkdir -p $BACKUP_DIR # 打包网站文件 tar -zcf $BACKUP_DIR/site_$DATE.tar.gz -C /www/wwwroot/ blog.example.com # 导出数据库 /www/server/mysql/bin/mysqldump -u typecho_user -p'typecho_pass' typecho > $BACKUP_DIR/db_$DATE.sql # 压缩数据库 gzip $BACKUP_DIR/db_$DATE.sql # 保留最近7天备份 find $BACKUP_DIR -name "site_*.tar.gz" -mtime +7 -delete find $BACKUP_DIR -name "db_*.sql.gz" -mtime +7 -delete

• 保存后，点击“执行”测试脚本是否成功

注意：数据库密码明文写在脚本里有风险。更安全做法是创建MySQL配置文件/root/.my.cnf：

[client] user=typecho_user password=your_password

然后mysqldump --defaults-extra-file=/root/.my.cnf typecho > ...

5.2 用Git Webhook实现主题/插件热更新

Typecho的主题和插件开发，我摒弃FTP上传，改用Git Webhook：

• 在服务器创建Git裸仓库：

  mkdir -p /www/git/typecho-theme.git cd /www/git/typecho-theme.git git init --bare

• 编写钩子脚本/www/git/typecho-theme.git/hooks/post-receive：

  #!/bin/bash GIT_REPO=/www/git/typecho-theme.git WORK_TREE=/www/wwwroot/blog.example.com/usr/themes/mytheme git --work-tree=$WORK_TREE --git-dir=$GIT_REPO checkout -f chown -R www:www $WORK_TREE

• 给脚本执行权限：chmod +x /www/git/typecho-theme.git/hooks/post-receive
• 本地开发机执行：

  git remote add origin ssh://root@blog.example.com:/www/git/typecho-theme.git git push origin master

  推送后，服务器自动更新/usr/themes/mytheme目录

实操心得：Webhook必须用SSH协议，HTTP协议无法触发钩子。且WORK_TREE路径必须精确到主题目录，不能是/usr/themes/，否则会覆盖其他主题。

6. 性能调优与安全加固实战

6.1 Nginx极致优化：对抗高并发访问

Typecho虽轻，但遭遇爬虫或热点文章时，worker_connections不足会导致503。我的调优清单：

• 编辑/www/server/nginx/conf/nginx.conf：

  events { use epoll; # Linux专属高效IO模型 worker_connections 4096; # 每worker进程最大连接数 multi_accept on; # 一次性接收多个连接 } http { # 开启gzip压缩 gzip on; gzip_min_length 1k; gzip_comp_level 6; gzip_types text/plain application/javascript application/x-javascript text/css application/xml text/javascript application/json; # 静态文件缓存 location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg)$ { expires 1y; add_header Cache-Control "public, immutable"; } }

• 重启Nginx：bt restart 1

注意：worker_connections值不能超过ulimit -n。先执行ulimit -n，若输出1024，需先执行ulimit -n 65536再改Nginx配置。

6.2 宝塔安全加固：关闭危险功能与日志审计

宝塔默认开启一些危险功能，必须关闭：

• “面板设置” → “安全” → 关闭“远程备份”（防止备份数据泄露）
• “安全” → “防火墙” → 关闭“放行所有端口”（仅放行80,443,22）
• “网站” → “设置” → “防CC攻击” → 开启，阈值设200（每分钟请求数）

日志审计是安全底线：

• tail -f /www/wwwlogs/blog.example.com.log：监控正常访问
• tail -f /www/wwwlogs/blog.example.com.error.log：抓取PHP错误
• grep "POST /admin/" /www/wwwlogs/blog.example.com.log：筛查后台暴力破解
• awk '$9 ~ /404/ {print $1,$7}' /www/wwwlogs/blog.example.com.log | sort | uniq -c | sort -nr | head -20：找出高频404路径（可能是扫描器）

最后分享一个小技巧：我在/www/wwwroot/blog.example.com/下创建deny.ip文件，内容为恶意IP，然后在Nginx配置中加入：

include /www/wwwroot/blog.example.com/deny.ip;

在deny.ip里写deny 192.168.1.100;，就能精准封禁。这比宝塔防火墙更灵活，且重启Ngin