宝塔面板安全配置

宝塔面板对外暴露前必做的安全设置：改端口和入口、绑定域名、面板 SSL、关闭多余服务、定期备份，可照着做。

宝塔面板好用，但它本身就是一个「能控制整台服务器」的网页后台。默认配置下端口、入口都是公开可猜的，一旦被人进了面板，等于把整台机器交出去。这篇是一份能照着做的宝塔安全清单。

前提：本文假设你已经装好宝塔并能登录。下面的操作绝大多数在面板的 「面板设置」 里就能完成，少数需要命令行。改设置前建议先记下当前的登录方式，别把自己关在外面。

一、改掉默认面板端口

宝塔默认面板端口是 8888，全网都知道，扫描器天天在敲。第一件事就是改掉。

面板设置 → 面板端口，改成一个 1024-65535 之间不常见的数字（比如 28xxx），保存。

如果服务器上还开了云厂商的安全组 / 防火墙，记得同步放行新端口、并删掉旧的 8888 放行规则，否则要么连不上、要么白改。

这是宝塔很关键的一个功能:给面板加一段秘密路径,不知道这个路径就连登录页都打不开。

面板设置 → 安全入口,开启并设置一个只有你知道的路径,比如 /my_secret_entry。开启后,面板地址变成:

http://你的IP:端口/my_secret_entry

直接访问 http://你的IP:端口 会打不开——扫描器就算扫到端口也进不来。这一项强烈建议开。

默认的 admin 用户名也是公开的。面板设置 → 面板用户 / 面板密码,把用户名改成不好猜的,密码用足够长的强密码(大小写+数字+符号)。

面板设置 → 域名/IP 里可以限制面板只能通过某个域名或某个 IP 访问,其它方式一律拒绝。这样即使有人知道端口和入口,来源不对也进不来。

不加 SSL 时,你登录面板的账号密码是明文在网络上传输的,有被中间人截获的风险。

面板设置 → 面板 SSL,开启即可(宝塔会用自签证书,浏览器可能提示不安全,自用场景确认继续即可;有域名的可以配正式证书)。开启后用 https:// 访问面板。

宝塔支持绑定 Google Authenticator 之类的动态口令。开启后,登录除了密码还要输入手机上的 6 位动态码,账号被盗的风险大大降低。在 面板设置 里找到「二次验证 / Google 验证」开启并按提示绑定。

宝塔一键能装一堆东西(Nginx、MySQL、FTP、各种扩展)。原则还是那句:用不到的别装、装了不用的关掉。

宝塔自带「安全」(防火墙)模块,配合云厂商安全组一起用。放行原则和服务器加固一致:

宝塔的「计划任务」里可以配置自动备份网站和数据库。两点建议:

面板本身、Nginx、PHP、MySQL 这些都会出安全漏洞。定期在面板里检查更新、打上补丁,别让它长期停在老版本。

数据库最小权限实践

以 MySQL 为例，讲清楚为什么别用 root 跑业务、怎么按库按表授权、只给必要权限、限定访问来源，配真实 SQL。

居家安全常识：那些出事才知道的盲区

用电、用气、防火、防摔等居家安全常识，很多是平时不留意、出事才后悔的盲区，看一遍能少踩很多坑。