宝塔面板上线后必做的八项安全设置

宝塔确实方便，但它的默认配置是"能用优先"，直接暴露在公网上会留下不少口子。下面八项是我每台机器上线后都要过一遍的。

1. 面板端口和入口不要用默认值

默认 8888 端口加默认路径，等于告诉扫描器"来试我"。改成高位端口（比如 14686），路径改成随机字符串。改完记得在防火墙放行新端口，否则面板会失联。

2. 面板绑定访问限制

面板设置里有"面板 SSL"和"授权 IP"两个开关。如果只从固定 IP 管理，把授权 IP 打开最省心。经常换网络的话，至少开启面板 SSL 和登录验证码。

3. 关掉不用的 PHP 版本

装了一堆 PHP 版本会让攻击面变大，也占内存。只留站点实际在用的那一个，其余卸载或停用。

4. 数据库不要用 root 远程连接

宝塔的数据库默认只允许本地连接，这个默认是对的，别去改。给每个站点单独建库和单独账号，权限只给到自己的库，不要图省事全用 root。

5. phpMyAdmin 用完就关

phpMyAdmin 是历史漏洞大户。不用的时候直接在软件商店里停掉，需要时再开。更稳妥的做法是压根不装，用命令行或者本地客户端连。

6. SSH 换成密钥登录

面板的"SSH 管理"里可以关闭密码登录。改之前务必先确认密钥能登上，否则面板和 SSH 会一起失联，只能去服务商后台开 VNC 救。

7. 开启面板操作日志

宝塔自带操作日志，能记录谁在什么时候改了什么。多人协作或者被入侵排查时，这是唯一的线索来源，别关。

8. 定期看一次"安全"页

面板的"安全"入口会扫出弱密码、开放端口、可疑文件。它不是万能的，但能挡住大部分低级问题。建议每月点一次，顺手把提示项处理掉。

还有两个容易被忘的点

一是防火墙。宝塔的防火墙基于 iptables，装了就要确认规则真的生效，可以用 iptables -L -n 核对，别只看面板上的绿点。二是计划任务。面板的定时任务本质上写进系统 crontab，改完记得 crontab -l 复查，有些任务在面板里显示正常、实际因为路径或权限没跑起来。

安全这件事没有"设完就一劳永逸"。真正有效的做法是把巡检做成定时的：端口有没有多开、账户有没有多出来、关键文件有没有被改，这些用脚本每十分钟跑一次，比人靠记忆靠谱得多。