分类： 学习

较低的WordPress上传限制可阻止您上传大文件，插件和主题。如果您要建立一个拥有大量多媒体资源的网站，那这将是一个很大的障碍。在这种情况下，有必要增加WordPress或服务器（或两者）中的最大上传大小。

也经常在WordPress交流群里看到站长咨询关于WordPress上传文件大小限制的问题，因此，我们有必要针对WordPress上传大小限制话题撰写一篇文章，以解众惑。

根据不同的服务器托管提供商和服务器，有很多方法可以解决此问题。我们将在本教程中尽可能全面地介绍设置WordPress最大上传大小限制。

如果您的网站服务器在Apache上运行，则可以更新站点的.htaccess文件以增加WordPress最大上传大小。您可以在WordPress网站的根目录中找到.htaccess文件。

根据PHP文档，三个PHP指令负责WordPress处理上传的方式，分别是：

• upload_max_filesize
• post_max_size
• memory_limit

在上面的“站点健康信息”部分中讨论了它们。如果您修改了这三个指令的值以接纳您的文件大小，将会有所帮助。例如，如果您计划上传的最大文件是32 MB，我们建议您进行以下设置：

• upload_max_filesize = 32M
• post_max_size = 64M
• memory_limit = 128M

注意，所有值都使用M而不是MB。这就是PHP处理其指令的方式。

上传文件除了文件本身之外，还可以包含其他信息。因此，为所有其他与上传相关的指令提供一些预留的空间是个好主意。您可以阅读“如何解决WordPress内存限制错误（2种方法）”教程，以获取更多信息。

通过FTP/SFTP或服务器提供商的文件管理器访问.htaccess文件。

查找“ .htaccess”文件

使用文本编辑器或代码编辑器打开 .htaccess文件，然后添加以下代码：

php_value upload_max_filesize 32M 
php_value post_max_size 64M 
php_value memory_limit 128M 
php_value max_execution_time 300 
php_value max_input_time 300

您可以在上面的代码中注意到另外两个PHP指令：max_execution_time和max_input_time。它们定义服务器在一个PHP任务上花费的时间。您上传的内容越大，花费的时间就越大。您需要将它们的值设置为适合您的用例的数字。

注：使用上述方法后，您可能会收到500 Internal Server Error。这很可能是因为您的服务器正在CGI模式下运行PHP。在这种情况下，您不能在.htaccess文件中使用以上命令。

创建或修改 “php.ini” 文件

在php.ini文件中，您可以定义对默认PHP设置的更改。通常，它包含定义文件超时，最大上传大小和资源限制的指令。

使用SSH或FTP，您可以在WordPress根目录中找到php.ini文件。在某些情况下，您可能无法在此处找到它。不用担心！您可以在站点的根目录中创建一个具有相同名称的新文件。

创建一个新的php.ini文件

使用代码或文本编辑器，将以下代码添加到现有或新的php.ini文件中：

upload_max_filesize = 32M 
post_max_size = 64M 
memory_limit = 128M

进行更改后，请不要忘记保存文件。某些主机不允许您通过此方法修改PHP设置。在这种情况下，您可以继续尝试以下解决方案。

创建或修改 “.user.ini” 文件

如果服务器托管服务提供商已锁定了全局PHP设置，则他们可能已将服务器配置为使用.user.ini文件而不是php.ini文件。

与php.ini和.htaccess文件一样，您可以在网站的根目录中找到.user.ini。如果找不到，则可以在同一位置创建一个新的.user.ini文件。按照前面方法中描述的相同过程创建一个新的 php.ini文件。

接下来，将以下代码添加到您的.user.ini文件中：

upload_max_filesize = 32M 
post_max_size = 64M 
memory_limit = 128M

有没有发现，这只是重复了前面的方法，只是文件名不同。

通过cPanel更改PHP选项

如果服务器托管提供商使用cPanel控制面板来帮助您管理服务器和站点配置，则可以通过其界面更改最大上传文件的大小。

首先，请转到cPanel仪表盘，然后在“Software”部分下选择“Select PHP Version” 。

cPanel仪表盘-“选择PHP版本”

在这里，您可以更改服务器当前PHP版本并启用/禁用许多PHP扩展。单击导航菜单中的“Options”链接以转到“PHP Options”面板。

转到cPanel中的“ PHP Options”设置

向下滚动这里修改PHP指令，如值upload_max_filesize，post_max_size，memory_limit，max_execution_time，和max_input_time，您可以在此处可设置的最大值取决于您当前的服务器配置。

cPanel中的“ PHP选项”

如果您对这些值有任何疑问，建议您与托管服务提供商联系。最新的cPanel仪表盘会自动保存更改。但是，如果您使用的是较早的cPanel版本，请确保点击保存按钮以保存更改。

在Nginx中增加最大上传文件大小

Nginx是另一个类似于Apache的网络服务器，但它还有很多其他功能。通常，Nginx可以比Apache处理更多的并发请求，从而使其更快。闪电博也是使用Nginx解决方案。

如果您在Nginx上运行WordPress网站，则需要同时修改php.ini和nginx.conf文件。我们之前已经处理过前一个文件。后者称为Nginx配置文件。

在Nginx服务器上，您可以在找到php.ini文件/etc/php/7.4/fpm/php.ini。根据您安装的PHP版本，路径可能会略有不同。

upload_max_filesize = 64M 
post_max_size = 128M

您无需在上面的文件设置memory_limit，因为Nginx对它的处理方式有所不同。有关更多信息，您可以查看Stack Overflow这篇文章。保存php.ini文件后，去终端重新启动PHP-FPM，以启用更改：

sudo service php7.4-fpm restart

同样，重启PHP的指令代码可能会略有不同，具体取决于服务器上安装的PHP版本。

接下来，使用Nginx的client_max_body_size指令设置新的最大上传大小限制。您需要在nginx.conf文件中声明此指令，您可以在/etc/nginx/nginx.conf找到该文件。

您可以在http {...}块，server {...}块或location {...}块中声明此指令。

在http块中进行设置会影响此服务器上托管的所有网站/应用。

http { 
... 
client_max_body_size 128M; 
}

在server块中定义它只会影响此服务器托管的特定站点/应用程序。

server { 
... 
client_max_body_size 128M; 
}

在location块定义则仅影响指定的目录（如文件，上传目录）。

location /files { 
... 
client_max_body_size 128M; 
}

不要忘记保存文件并重新启动Nginx以应用更改，您可以在终端中使用以下命令重启NG：

sudo service nginx reload

部分服务器提供商不允许客户直接访问Nginx配置。但是，可以与支持团队联系更改。

使用WordPress的 “upload_size_limit” 过滤器

WordPress 2.5引入了upload_size_limit过滤器，该过滤器过滤php.ini中允许的最大上传大小。甚至WordPress都使用此过滤器来显示允许的最大上传大小，例如在“媒体库”和“站点健康信息”界面中。

以下是WordPress贡献者Drew Jaynes实际使用的此过滤器的示例。它定义了所有非管理员角色的上传大小限制。

/**
* Filter the upload size limit for non-administrators.
*
* @param string $size Upload size limit (in bytes).
* @return int (maybe) Filtered size limit.
*/
function filter_site_upload_size_limit( $size ) {
// Set the upload size limit to 10 MB for users lacking the 'manage_options' capability.
if ( ! current_user_can( 'manage_options' ) ) {
// 10 MB.
$size = 1024 * 10000;
}
return $size;
}
add_filter( 'upload_size_limit', 'filter_site_upload_size_limit', 20 );

上面的代码使用WordPress的 manage_options 功能仅针对非管理员设置此限制。您可以修改代码以定位特定的用户角色或用户ID。

使用WordPress插件

并非所有人都喜欢使用SSH或FTP/SFTP来处理代码。如果您不习惯编写或编辑代码，则可以改用WordPress插件。

WP Maximum Upload File Size插件

我们将在此处使用WP Maximum Upload File Size插件。撰写本文时，它是WordPress插件市场中唯一可帮助您完成此操作的最新插件。

首先，请安装并启用WP Maximum Upload File Size插件。点击WordPress管理后台左侧菜单的“Wp upload limit”，在这里，您可以看到托管提供商和WordPress设置的最大上传文件大小。

WP最大上传文件大小设置

在这里，您可以看到WordPress设置的最大上传文件大小小于托管服务提供商设置的最大文件大小。因此，您可以通过选择最大上传文件大小并显示下拉菜单来设置更大的上传限制。

注：如果您要设置的最大上传文件大小上限大于托管服务提供商设置的上限，则无法通过此插件进行操作。为此，您需要联系您的托管服务提供商。

通过FTP/SFTP上传文件

不想使用上述所有方法？您还可以通过FTP/SFTP上传大文件。

使用SFTP上传文件到服务器

如果要上传大量文件，这是最快的方法。

有时，WordPress无法识别通过FTP/SFTP上传的文件。在这种情况下，您可以使用免费插件- Add From Server将上传的文件导入WordPress。

或者，您可以通过使用WP-CLI导入图像，从命令行直接执行相同操作。wp media import命令允许您从本地文件或URL创建附件。

不要编辑 “wp-config.php” 文件

编辑wp-config.php文件不再起作用。之所以在这里提及它是因为我们发现许多网上教程都将其列为修改WordPress最大上传限制的合法方法。

该方法是通过FTP/SFTP或SSH进入站点的根目录，然后编辑wp-config.php文件。

查找wp-config.php文件

建议您将以下代码添加到wp-config.php文件中：

@ini_set( 'upload_max_size' , '64M' ); 
@ini_set( 'post_max_size', '128M'); 
@ini_set( 'memory_limit', '256M' );

它无法工作，因为您只能使用 ini_set() function来设置属于PHP_INI_ALL可变模式的PHP指令。

upload_max_size与post_max_size作为属于PHP_INI_PERDIR多变的模式。您只能通过php.ini，.htaccess，http.conf或.user.ini进行设置。

如果您以前尝试过此方法而没有看到任何结果，那么现在您知道它为什么会失败。

验证WordPress网站的新的最大上传限制

最后，我们需要验证WordPress网站中是否实现了新的最大上传文件大小限制。为此，请按照上面讨论的相同步骤检查WordPress中的最大上传文件大小。

转到WordPress信息中心中的媒体库，然后检查最大上传文件大小限制是否已更改。

验证“媒体库”中新的最大上传文件大小

是的，它已经改变了。那是成功的！

您也可以转到“站点健康”面板，然后在“媒体处理”和“服务器”下拉列表中检查是否相同。

在“站点健康信息>媒体库”中验证新的最大上传文件大小

在“站点运行>状况信息>服务器”中验证新的最大上传文件大小

小结

如您所见，在WordPress中修改最大上传限制并不是太复杂。无论您是要构建大量媒体作品集网站还是要安装大型主题，只需知道要在哪里查找以及要使用哪些命令或工具即可。

在大多数情况下，与您的托管服务提供商联系就足够了。但是，如果您遇到麻烦的主机，我们将向您展示一些替代方法，您可以在迁移到更好的主机之前尝试一下。

上述有没有涵盖了所有你所需要的内容吗？您是否也曾经遇到了上载文件大小限制的情况，然后你是如何处理的？留言与我们一起深入交流。

您是否试图找出文件和文件夹的正确WordPress权限？还是您首先对WordPress权限的整个概念感到困惑？

WordPress文件权限对您网站的安全和运行至关重要，因此您必须了解它们。如果您使用的是WordPress托管，您的主机几乎可以肯定已经为您配置了一些东西，但是如果您遇到任何问题，理解这些概念仍然很有帮助。

因此，无论您从未听说过文件权限，或者您只是在为WordPress寻找正确的文件权限，我们都会在这篇文章中为您介绍。如果您已经熟悉文件权限，可以单击第二个链接直接跳转到WordPress的最佳文件权限。

1. 什么是文件权限？
2. WordPress的正确文件权限
3. 如何快速检查WordPress文件权限
4. 如何编辑WordPress文件权限

Tips：这篇文章100%专注于WordPress文件权限以及如何使用它们来保护您的网站。如果您对控制WordPress用户权限更感兴趣，请查看我们的WordPress用户角色和权限文章。

什么是文件权限？

简而言之，文件权限控制不同用户如何与您的WordPress站点服务器上的文件进行交互。更具体地说，文件权限控制谁可以读取、写入和执行文件：

• 读取：读取文件内容的能力。
• 写入：更改文件的能力。
• 执行： “使用”文件的能力（例如执行脚本）。

什么是用户？

用户分为三种不同的“类型”：

• 所有者：文件或目录的指定所有者。
• 组：拥有文件或直接拥有文件的组的成员。
• 公共：除文件所有者或组成员之外的所有用户。

每个文件或文件夹都归特定用户或特定组所有。每个用户可以是多个组的成员，但他们只能拥有一个主要组。

例如，当您通过SFTP连接到您的站点时，您正在使用服务器上的用户帐户，并且该用户帐户属于一个或多个组，具体取决于您的服务器的配置方式。

注意：大多数人不需要掌握“用户”的概念，因为您的主机会为您配置所有这些。但是，了解了解文件权限的功能至关重要。如果您在本节中感到有些迷茫，请知道在大多数情况下，您的主机已经为您的服务器环境适当地设置了用户。

通过文件权限，您可以控制每种类型的用户（所有者、组、公共）可以对服务器上的文件和文件夹执行的操作（读取、写入、执行）。

一般来说，文件的所有者应该拥有最多的权限；属于同一组的用户将拥有相同或更少的权限；公共用户将拥有与组相同或更少的权限：

所有者 > 组 > 公共

文件权限的概念与WordPress角色和权限系统非常相似。如果您是网站的管理员，那么您拥有的控制权比编辑者更多。例如，管理员可以安装新插件，但编辑器不能。

同样，编辑器比您网站的匿名访问者拥有更多的控制权，即使编辑器没有完全管理员的权力。例如，编辑器可以编辑其他人的博客文章并发布新的博客文章，但编辑器不能安装新插件。

文件权限中的数字是什么意思？

文件权限由称为权限模式的三位数字表示（例如777、440）。

数字中的每个数字对应于特定用户可以执行的操作：

• 第一个数字：控制所有者可以做什么。
• 第二位数字：控制用户组中的用户帐户可以做什么。
• 第三个数字：控制其他人可以做什么（公共）。

权限模式中的每个数字都是分配给每个操作的数字的总和：

• 读取： 4
• 写入： 2
• 执行： 1

如果您不想授予任何权限，请使用数字0。

同样，您在权限模式中看到的数字是实体拥有的所有权限的总和。例如，如果所有者可以读取(4) 和写入(2)，则权限模式将为6 (4+2)。

或者，如果所有者拥有所有三个权限，则为7 (4+2+1)。

因此，777是最宽松的配置。代表着：

• 第一个数字 – 7 – 所有者可以读取(4)、写入(2) 和执行(1)
• 第二个数字 – 7 – 组可以读取(4)、写入(2) 和执行(1)
• 第三个数字 – 7 – 公众可以读取(4)、写入(2) 和执行(1)

出于这个原因，您几乎永远不想在您的WordPress网站上设置任何权限为777 。我们将在下面详细讨论这一点。

如果您想尝试一下这个想法，您可以使用chmod计算器工具来查看当您为不同的用户分配不同的权限时数字是如何变化的。

文件权限中的字母是什么意思？

虽然您可能最常遇到数字格式，但有时您也会看到由字母和破折号表示的文件权限。

例如：rwxr–r–

以下是这种格式的工作原理：

• r = 读取权限
• w = 写权限
• x = 执行权限
• –（连字符）= 无权限

总共有九个字符——前三个适用于所有者，后三个适用于组，最后三个适用于公众。

在这种格式中，相当于777将是rwxrwxrwx.

为什么WordPress文件权限很重要？

由于文件权限控制不同用户可以对您服务器上的文件执行的操作，因此它们在WordPress安全性中起着至关重要的作用。

想象一下，如果您将站点的所有文件和文件夹都设置为777。这意味着任何人都可以创建新文件、修改现有文件、删除现有文件、执行脚本等等。人们可以将恶意脚本添加到您的站点并执行它们，这将很快导致各种问题。那将是一场噩梦！

但是，文件权限是一种平衡行为，如果您限制太多，您的网站也会停止工作。

例如，如果您将权限设置为000，您的WordPress站点将完全停止运行，因为您的站点甚至无法读取服务器上的任何文件。

因此，WordPress的最佳文件权限总是介于000（没有人拥有任何权限）和777（每个人都拥有所有权限）之间。

但是，文件权限也可能很棘手，因为即使在更现实的场景中，您仍然可能会遇到问题。例如，444是您站点的.htaccess文件的一个非常安全的设置。

但是，如果您确实这样设置，您可能会遇到一些需要能够写入您网站的.htaccess文件的插件的问题（例如WP Rocket和W3 Total Cache等缓存插件）。

因此，如果您正在使用需要写入权限的插件之一，您可能需要切换到稍微宽松的644甚至666，具体取决于您的 Web 服务器的配置方式。

为什么需要更改WordPress文件权限？

简短的回答是大多数人不需要手动更改文件权限。

如果您使用主机的自动安装程序安装了WordPress，那么作为该设置过程的一部分，任何好的主机都应该自动为您设置最佳文件权限。

因此，如果您使用主机的自动安装程序并且您的WordPress站点运行良好，您可能不需要修改站点的文件权限。

但是，如果您自己手动安装WordPress，则可能会出现问题。在插件安装和使用过程中，您可能还会遇到文件权限问题，例如上一节中的缓存插件示例。

WordPress的正确文件权限

在本节中，我们将讨论WordPress的正确文件权限。然后，如果您需要帮助，我们将在下一节中向您展示如何更改它们。

首先，重要的是要注意最佳文件权限部分取决于您的托管环境的配置方式。对于一个环境来说是最佳和安全的，对于其他环境不一定是这样。对于使用suEXEC的共享主机尤其如此。

一般来说，解决这个问题的一个好的经验法则是从最不许可的配置开始，并且只根据需要添加权限以使事情正常运行。例如，在谈论wp-config.php文件时，您会看到从400到644的任何值。如果您不确定从哪里开始，可以从400开始，只要您认识到此设置可能会导致服务器配置出现问题，并且如果遇到问题，您可能需要使其更加宽松。

无论如何，您都不应该将任何权限设置为777（除非您是专家并且有充分的理由这样做）。

大多数WordPress文件/文件夹的默认文件权限

一般来说，WordPress的正确文件权限应该如下：

• 文件： 644
• 文件夹： 755

但是，有一些特殊的豁免需要注意：

• wp-config.php文件
• .htaccess文件
• nginx.conf文件

wp-config.php权限

您站点的wp-config.php文件是一个超级敏感的文件，其中包含您站点的数据库凭据和许多其他重要信息。

wp-config.php文件的一个很好的起点是644。但是，您会在此处找到许多其他建议，包括640和600。为了更加锁定它，有些人甚至使用444。

但是，如果您使用444，则可能会导致问题，因为许多WordPress插件依赖于wp-config.php文件的写入权限。

.htaccess权限

您站点的.htaccess文件是另一个值得特别注意的重要配置文件。

.htaccess权限的一个很好的起点是644，这是WordPress Codex推荐的。一些开发人员还推荐444。但是，如果您使用444，它可能会限制需要写入.htaccess文件的插件（例如大多数缓存插件）。

注意：没有.htaccess文件，那可能是因为主机使用Nginx网络服务器来提高性能。.htaccess文件只是Apache网络服务器上的一项功能。

nginx.conf权限

相同的.htaccess文件权限也适用于nginx.conf，如果您的主机使用Nginx网络服务器，它是主要配置文件。

一般地，nginx.conf文件也是使用644 。一些开发人员还推荐444。

如何快速检查WordPress文件权限

如果您想要一种快速、非技术性的方式来检查您网站的文件权限以查看是否有任何问题，您可以使用WordPress.org上的免费iThemes Security插件。

您还可以使用FTP或cPanel文件管理器，我们将在下一节中向您展示 – 我们首先只是共享此插件，作为检测潜在问题的快速方法。

激活插件后，转到Security → Settings并单击File Permissions下的Show Details按钮：

WordPress中文件权限工具的位置

在这里，您将找到您当前的WordPress文件权限以及它们与iThemes Security推荐的文件权限的比较。您可以看到iThemes为wp-config.php文件和nginx.conf或.htaccess文件推荐444 .

但请记住，  444会导致与某些插件发生冲突，因此您可能希望避免使用它。

WordPress中的iThemes安全功能将现有文件权限与建议的权限设置进行比较

如果您不想在设置后继续使用该插件，我们建议您将其删除。

如何编辑WordPress文件权限

现在，让我们谈谈如何在需要时更改WordPress网站的文件权限。您可以使用几种不同的方法——我们将向您展示三种方法：

• FTP
• cPanel文件管理器
• SSH/终端

FTP/SFTP

如果您知道如何使用FTP/SFTP连接到您的服务器，那么任何优质的FTP 客户端都应该让您快速更改文件权限。

我们将向您展示它是如何使用流行的免费和开源客户端FileZilla工作的。

使用SFTP连接到服务器后，右键单击要编辑的文件/文件夹，然后选择文件权限：

如何在FileZilla中使用FTP更改文件权限

然后，您可以使用复选框或直接输入数字：

如何使用FileZilla输入新的文件权限

cPanel文件管理器

如果您的主机提供cPanel，您可以使用cPanel的文件管理器工具来编辑WordPress文件权限。

在cPanel文件管理器中，右键单击要编辑的文件或文件夹，然后选择更改权限：

如何使用cPanel文件管理器更改文件权限

然后，选中相关框以分配权限。当你这样做时，你会在底部看到总数发生变化：

如何使用cPanel输入新的文件权限

设置正确的权限，一切顺利！

命令行

如果您觉得从命令行工作很舒服，您还可以使用chmod. 我们喜欢使用这个chmod计算器来快速获得适当的权限。

小结

正确的WordPress文件权限是创建安全、运行良好的网站的重要组成部分。但是您无需过多担心文件权限，因为如果您使用主机的自动安装工具，大多数主机都会正确配置所有内容。

但是，如果您是手动安装WordPress，或者您的站点的原始文件权限被某些东西弄乱了，您可能需要编辑站点的文件权限。

一般来说，WordPress目录权限应该是755，WordPress文件权限应该是644。一些重要的例外情况包括您站点的wp-config.php文件和服务器的.htaccess或nginx.conf文件，您可以稍微减少对它们的允许。

无论如何，请确保您永远不会在实时站点上将文件权限设置为777（即使您知道自己在做什么）。这样做会使您的网站和服务器面临巨大的安全漏洞。

寻找一种密码保护WordPress的方法？有很多不同的方法可以为您的网站添加密码保护，包括密码保护您的整个WordPress网站、仅保护特定内容，甚至仅保护其他公开内容的一部分。

其中一些解决方案需要使用插件，而其他解决方案则使用您可以在服务器级别进行的核心WordPress功能或配置。

在这篇文章中，我们将尝试涵盖尽可能多的不同方法。总的来说，您将学习：

1. 如何使用密码保护您的整个WordPress网站
2. 如何使用密码保护目录
3. 如何使用密码保护文章、页面和WooCommerce产品
4. 如何使用密码保护某个类别的WordPress文章
5. 如何密码保护WordPress文章的一部分

您可以单击上面的任何链接直接跳转到特定方法，或者您可以通读以了解如何使用密码保护您的WordPress网站的所有方法。

如何使用密码保护您的整个WordPress网站

如果你想用密码保护你的整个 WordPress 网站，你有两个主要选择：

• 一个插件
• 服务器级别的HTTP身份验证

在这两者中，插件方法对于面向用户的站点来说肯定更加用户友好和更好，而HTTP身份验证是密码保护WordPress登台站点或其他类型的非面向用户站点的有效方法。

如何使用插件对WordPress网站进行密码保护

为了对您的整个WordPress网站进行密码保护，我们推荐Ben Huson提供的免费密码保护插件，该插件在WordPress.org上获得了很高的评价和可用。

安装并激活插件后，您可以转到“设置”→“Password Protected”来配置插件的设置。

选中Password Protected Status框以启用密码保护并在New Password框中输入所需的密码。

该插件的另一个好处是它还为您提供了将某些类型的用户/请求以及IP地址列入白名单的选项。如果需要，您可以配置这些：

如何使用密码保护您的整个WordPress网站

激活它后，任何尝试访问您网站的人都需要在精简版的WordPress登录页面中输入密码：

全站密码表格

如果您想将登录页面徽标从通用WordPress徽标更改，您可以使用免费的Login Logo插件。

如何使用HTTP身份验证对WordPress网站进行密码保护

通过基本的HTTP身份验证（又名htpasswd保护），您可以在人们加载您的网站之前添加额外的密码保护层，这就是为什么它是WordPress登台或开发网站的绝佳选择。

您可以参考教程为您的WordPress网站启用htpasswd保护。

启用后，您的WordPress网站将需要身份验证才能访问它。您可以随时更改凭据或在不再需要时将其禁用。

.htpasswd身份验证提示

如何使用密码保护目录

需要密码保护您网站上的目录？也许您有一个位于WordPress安装之外的文件夹，您不希望公众访问该文件夹。

apache

要手动设置，您首先需要创建一个 .htpasswd文件。您可以使用这个方便的生成器工具。然后将文件上传到您要保护的目录。

www/user/public/protecteddirectory

然后用下面的代码创建一个.htaccess文件，上传到你要保护的目录的路径下。确保更新目录路径和用户名。

AuthType Basic  
AuthName "restricted area"  
AuthUserFile /www/user/public/protecteddirectory.htpasswd  
require valid-user

Nginx

如果您正在运行Nginx，您还可以使用HTTP基本身份验证来限制访问。看看这个教程。

如果您使用具有cPanel的提供商进行托管，您可以使用位于“Files”部分下的“Directory Privacy”工具设置受密码保护的目录。

cPanel目录隐私

如何使用密码保护文章、页面和WooCommerce产品

如果您想对单个文章、页面或WooCommerce产品进行密码保护，WordPress实际上包含一个内置功能，可帮助您通过其Visibility设置进行设置。

您将在WordPress编辑器中找到Visibility设置，因此您可以将它用于我们上面提到的每种类型的内容，以及您可能在您的网站上使用的任何其他自定义文章类型。

开始：

• 打开要添加密码保护的内容的WordPress编辑器。
• 在右侧边栏中找到Visibility选项。
• 点击它。
• 选择Password Protected并输入您要用于解锁文章的密码。

这是新的WordPress区块编辑器中的样子：

在区块编辑器中哪里可以找到可见性选项

这是旧版经典WordPress编辑器中的样子：

在哪里可以找到WordPress的可见性设置

发布或更新内容后，系统将提示访问者输入密码，然后才能查看文章。此外，WordPress将在文章标题前添加“受保护”：

内置WordPress密码保护的工作原理

这种方法的一个很酷的转折是，您实际上可以让人们通过一次输入密码来解锁多个文章。要进行此设置，您需要做的就是在多个文章中重复使用相同的密码。容易，对吧？

一旦访问者输入一次密码，它会自动解锁所有使用相同密码的内容。但是，如果另一部分内容使用不同的密码，则访问者仍需要输入该唯一密码。

最后，为了让您了解这种类型的密码保护如何适用于不同的内容，以下是它如何与WooCommerce产品一起使用。您可以看到Visibility控件显示在同一位置：

如何使用密码保护WooCommerce产品

如何使用密码保护某个类别的WordPress文章

作为密码保护单个内容的替代方法，您还可以密码保护整个类别。

这种方法的好处是，它可以让您更轻松地为多个内容添加密码保护，并且对访问者来说也更简单，因为他们只需输入一次密码即可解锁该类别中的所有内容。

不过，要设置此功能，您需要插件的帮助。我们推荐两种选择：

1. Password Protected Categories，来自Barn2 Media的付费插件
2. Access Category Password，WordPress.org上的免费插件

如何使用Password Protected Categories

Password Protected Categories的工作原理基本上是将您在上一节中看到的相同“密码保护”功能添加到您的类别中。

安装并激活插件后，您可以转到文章 → 类别并编辑要添加密码的类别。在底部，您现在将看到用于密码保护单个内容的相同Visibility框。

选择Password protected并输入您想要的密码。

一件好事是该插件允许您添加多个密码，每个密码都将解锁该类别。这使您可以为每个人/组提供一个唯一的密码，以便将来在需要时更轻松地删除访问权限：

如何将密码添加到类别

保存更改后，每当访问者尝试访问受密码保护的类别中的文章时，都会提示他们输入密码：

解锁类别的密码表格

通过转到Settings → Protected Categories，您还可以访问一些额外的设置，让您控制插件的功能。你可以：

• 设置密码的过期时间（例如，在访问者需要再次输入密码之前内容被解锁多长时间）。
• 选择是否仍然在您网站的公共区域中显示受保护类别中的内容，或者是否在有人输入密码之前完全隐藏它们。
• 自定义您在上面看到的登录表单。

密码保护类别设置

如果您经营的是WooCommerce商店，同一开发人员也有一个类似的插件，旨在与WooCommerce一起使用，称为WooCommerce Protected Categories。

如何使用Access Category Password

Access Category Password可在WordPress.org免费获得。安装并激活它后，您可以转到设置→Access Category Password。

在那里，您可以：

• 选择要使用的密码。
• 选择要密码保护的类别。
• 将某些用户角色列入白名单，以便他们无需输入密码即可查看隐藏类别。
• 选择是使摘录仍然公开还是隐藏所有内容。
• 自定义登录页面/密码保护通知。

Access Category Password设置

保存更改后，访问者在尝试访问受限类别中的任何内容时需要输入密码。

虽然此插件是免费的，但一个缺点是您只能输入一个密码，并且您必须对要密码保护的所有类别使用相同的密码。

如果您想为每个类别使用不同的密码，那么使用上面的受密码保护的类别插件可能会更好。

这里的另一个区别是，即使在用户输入密码之前，Access Protected Categories仍然显示文章标题，而上面的Password Protected Categories插件隐藏了标题：

Access Category Password表单

如何密码保护WordPress文章的一部分

最后，让我们看看如何用密码保护一部分公开的WordPress文章的最具体方法。

要设置此功能，您可以使用WordPress.org上的免费Passster插件。

安装并激活插件后，转到设置 → Passster以生成用于限制内容的简码。

输入您想要的密码并选择Generate Password：

Passster简码生成器

然后，保存您的更改并复制Passster为您提供的简码：

复制Passster简码

然后，将此短代码添加到您要使用密码保护的内容中。此外，编辑“Your content here”占位符并将其替换为您想要密码保护的内容：

Passster短代码示例

发布文章后，以下示例显示了默认密码保护表单的外观：

Passster登录表单

要自定义此表单的外观，您可以使用 WordPress Customizer（外观 → 自定义）。

在WordPress定制器中查找Passster部分。在那里，您将能够自定义表单的文本和颜色：

WordPress定制器中的Passster样式选项

概括

无论您是想限制对整个网站、部分内容的访问，还是介于两者之间的访问权限，您都可以通过多种方式对WordPress进行密码保护。

选择最适合您的方法，按照我们教程中的步骤操作，并享受新的WordPress密码保护功能。

WordPress网站被黑。如果它发生在你身上，很容易恐慌。在这篇文章中，我将帮助您确定您的网站是否被黑客入侵，指导您完成清理网站的步骤并帮助您提高网站的安全性。

最后，我将为您提供一些提示，以防止您的WordPress网站将来再次被黑客入侵。

1. WordPress被黑：表明您的WordPress网站存在风险
2. 为什么WordPress网站会被黑客入侵
3. WordPress如何被黑客入侵？
4. WordPress网站被黑：怎么办（分步指南）
5. 如何防止您的WordPress网站被黑客入侵

WordPress被黑：表明您的WordPress网站存在风险

您的WordPress网站未按应有的方式运行。但是你怎么知道这个问题是由于黑客攻击造成的？让我们看一下您的网站已被黑客入侵的一些迹象：

• 您无法登录。
• 您的网站在您没有做任何事情的情况下发生了变化（例如，主页已被静态页面替换或添加了新内容）。
• 您的网站正在重定向到另一个网站。
• 当您或其他用户尝试访问您的网站时，您会在浏览器中收到警告。
• 当您搜索您的网站时，Google会发出警告，表明它可能已被黑客入侵。
• 您已收到来自安全插件的违规通知或意外更改通知。
• 您的托管服务提供商已警告您有关您帐户的异常活动。

让我们更详细地看一下其中的每一个。

您无法登录

如果您无法登录您的网站，则可能表明您的网站已被黑客入侵。但是，您更有可能刚刚忘记了密码。因此，在您假设您已被黑客入侵之前，请尝试重置您的密码。如果你不能，那是一个警告信号。即使可以，您可能仍然被黑客入侵，您必须进行更多调查。

黑客有时会删除用户或更改用户密码以阻止访问。如果您无法重置密码，则您的用户帐户可能已被删除，这是黑客入侵的迹象。

您的网站已更改

黑客的一种形式是用静态页面替换主页。如果您的网站看起来完全不同并且没有使用您的主题，则它可能已被黑客入侵。

这些更改可能更加微妙，可能会添加虚假内容或指向令人讨厌的网站的链接。如果您的页脚充满了您没有添加的链接，特别是如果这些链接被隐藏或字体很小，那么您可能已被黑客入侵。

在您假设您已被黑客入侵之前，请与其他网站管理员或编辑核实，以确保他们没有意外进行更改。

如果您的主题不是来自信誉良好的来源并且您最近更新了它，那可能是罪魁祸首。

您的网站正在重定向

有时，黑客会添加一个脚本，当人们访问您的站点时将其重定向到另一个站点。这可能是您不希望您的用户被带到的网站。

当我管理的一个学校网站重定向到一个约会网站时，这发生在我身上。正如你可以想象的那样，我的客户很不高兴，不得不放弃我正在做的所有其他事情并立即修复它。事实证明，这是服务器上的不安全问题，而不是我的网站上的安全问题，这是只使用优质托管的原因之一。我尽快更换了托管服务提供商并几乎立即修复了这个问题。

浏览器警告

如果您的浏览器警告您的网站已被入侵，则可能表明您的网站已被黑客入侵。这也可能是由于您需要删除的主题或插件中的某些代码，或者是域或SSL的问题。

请参阅浏览器中带有警告的建议，以帮助您诊断问题。

搜索引擎警告

当您搜索您的网站时，如果它被黑客入侵，Google可能会显示警告。这可能意味着站点地图已被黑客入侵，这将影响Google抓取您网站的方式。或者这可能是一个更大的问题：您需要进行下面的诊断以确切了解发生了什么。

谷歌警报 – 该网站可能已被黑客入侵

为什么WordPress网站会被黑客入侵

WordPress网站被黑的原因有很多，但这里是最常见因素的概述。

1. 不安全的密码

这是黑客入侵的最常见原因之一。世界上最常用的密码是“密码”。安全密码不仅适用于您的WordPress管理员帐户，而且适用于您的所有用户和网站的所有方面，包括FTP和托管。

2. 过时的软件

插件和主题，以及WordPress本身，都受到需要应用到您网站的安全更新的约束。如果您不使您的主题、插件和 WordPress 版本保持最新，那么您的网站就会容易受到攻击。

3.不安全的代码

并非来自可靠来源的插件和主题可能会给您的网站带来漏洞。如果您需要免费的WordPress主题或插件，请从官方主题目录安装它们。

购买高级主题和插件时，请务必检查供应商的声誉，并从您信任的人和来源获得推荐。切勿安装无效插件，它们是来自免费网站的高级插件，旨在造成伤害或收集信息。

WordPress如何被黑客入侵？

如果您想了解更多有关WordPress 网站如何被黑客入侵的信息（如果您自己的网站被黑客入侵，您不会急于采取措施），以下是黑客进入您网站的主要途径：

• 后门——这些绕过访问您网站的正常方法，例如通过脚本或隐藏文件。一个例子是2013年的Tim Thumb漏洞。
• Pharma hacks – 一种用于将恶意代码插入到过时版本的WordPress中的漏洞。
• 暴力登录尝试——当黑客使用自动化来利用弱密码并获得对您网站的访问权限时。
• 恶意重定向 – 当使用后门将恶意重定向添加到您的网站时。
• 跨站脚本 (XSS) – WordPress插件中最常见的漏洞，这些注入脚本允许黑客向用户的浏览器发送恶意代码。
• 拒绝服务 (DoS) – 当网站代码中的错误或错误被用来淹没网站，使其不再运行时。

如果您经营的是电子商务网站，请务必阅读我们关于电子商务欺诈预防的深入指南。

这些听起来都很吓人，但是您可以采取一些措施来保护您的 WordPress 网站免受它们的侵害。首先，让我们完成当您的网站被黑客入侵时需要采取的步骤。

WordPress网站被黑：怎么办（分步指南）

您需要采取的步骤取决于您的网站被黑客入侵的方式，您可能不需要完成所有这些工作。我们将经历的步骤是：

1. 不要惊慌
2. 将您的网站置于维护模式
3. 重置密码
4. 使用恶意软件删除服务
5. 更新插件和主题
6. 删除用户
7. 删除不需要的文件
8. 清理您的站点地图
9. 重新安装插件和主题
10. 重新安装WordPress核心
11. 清理你的数据库

第 1 步：不要惊慌

我知道你能对惊慌失措的人说的最糟糕的话就是“不要惊慌”。但是，如果您要能够诊断和解决问题，您需要有一个清醒的头脑。

如果您无法正确思考，只需将您的站点置于维护模式并放置几个小时，直到您感觉平静。再一次，这听起来说起来容易做起来难，但它在这里至关重要。

第 2 步：将您的站点置于维护模式

您不希望访问者发现您的站点处于受损状态，也不希望他们在您修复站点时看到您的站点的外观。

因此，如果可以，请将其置于维护模式。

如果您现在无法登录您的WordPress网站，这将是不可能的，但请尽快返回并执行此操作。

像Coming Soon Page & Maintenance Mode这样的插件可以让您将您的网站置于维护模式，使其看起来好像正在进行定期维护，而不是在被黑客入侵后得到修复。

Coming Soon Page & Maintenance Mode插件

完成此操作后，您可以放松一点，因为知道人们看不到正在发生的事情。

您可以配置插件以添加徽标并自定义颜色，或者您可以输入一些快速解释性文本并将其保留。

现在您可以看到损坏的网站，但其他人看不到。

第 3 步：使用恶意软件删除服务

为了省去以下所有步骤的麻烦，如果你的服务器提供商有恶意软件清除服务，掏腰包解决问题吧。

第 4 步：重置密码

由于您不知道使用哪个密码来访问您的网站，因此更改所有密码以防止黑客再次使用它们很重要。这不仅限于您的WordPress密码：重置您的SFTP密码、您的数据库密码以及您的托管服务提供商的密码。

您需要确保其他管理员用户也重置他们的密码。

第 5 步：更新插件和主题

下一步是确保所有插件和主题都是最新的。转到您网站中的仪表盘 > 更新 并更新所有过时的内容。

您应该在尝试任何其他修复之前执行此操作，因为如果插件或主题使您的网站易受攻击，则您所做的任何修复都可能被该漏洞撤消。因此，在继续之前确保一切都是最新的。

第 6 步：删除用户

如果您不认识任何管理员帐户已添加到您的WordPress网站，则该删除它们了。在您执行此操作之前，请与任何授权管理员确认他们没有更改其帐户详细信息，而您只是不认识他们。

转到WordPress管理员中的用户屏幕，然后单击用户列表上方的管理员链接。如果有任何不应该出现的用户，请单击他们旁边的复选框，然后在批量操作下拉列表中选择删除 。

第 7 步：删除不需要的文件

要确定您的WordPress安装中是否有任何不应该存在的文件，您需要安装一个安全插件，例如WordFence，它会扫描您的网站并告诉您是否有任何不应该存在的文件，或使用诸如Sucuri之类的安全服务。

第 8 步：清理您的站点地图并重新提交给Google

网站被搜索引擎标记为红色的原因之一可能是您的sitemap.xml文件被黑客入侵。

您可以使用SEO插件重新生成站点地图，但您还需要告诉Google该站点已被清理。将您的网站添加到Google Search Console并向 Google提交站点地图报告，告诉他们您需要抓取该网站。这并不能保证您的网站会立即被抓取，最多可能需要两周时间。您无法采取任何措施来加快速度，因此您必须耐心等待。

第 9 步：重新安装插件和主题

如果您的网站仍然存在问题，则需要重新安装尚未更新的所有插件和主题。停用并从您的主题和插件页面中删除它们，然后重新安装它们。如果您尚未将站点置于维护模式，请先执行此操作！

如果您从插件或主题供应商处购买了插件或主题并且您不确定它的安全性，那么现在是考虑是否应该继续使用它的时候了。如果您从WordPress插件或主题目录以外的任何地方下载了免费主题/插件，请不要重新安装它。相反，从主题或插件目录安装它或购买合法版本。如果您买不起，请将其替换为主题或插件目录中的免费主题/插件，该主题或插件执行相同或类似的工作。

如果这不能解决问题，请查看所有主题和插件的支持页面。可能是其他用户遇到了问题，在这种情况下，您应该卸载该主题或插件，直到漏洞得到修复。

第 10 步：重新安装WordPress核心

如果一切都失败了，您将需要重新安装WordPress本身。如果WordPress核心中的文件遭到破坏，您需要用干净的WordPress安装替换它们。

通过SFTP将一组干净的WordPress文件上传到您的网站，确保覆盖旧文件。备份wp-config.php和. htaccess文件首先，以防这些被覆盖（尽管它们不应该被覆盖）。

如果您使用自动安装程序来安装WordPress，请不要再次使用它，因为它会覆盖您的数据库并且您会丢失您的内容。相反，仅使用SFTP上传文件。

第 11 步：清理数据库

您的数据库已被黑客入侵，您也需要清理它。清理数据库是一个好主意，因为干净的数据库将减少陈旧数据并占用更少的空间，从而使您的站点更快。

你怎么知道你的数据库是否被黑客入侵了？如果您正在使用安全插件或服务，通过它运行扫描将告诉您数据库是否已被破坏（或者您可能已收到警报）。或者，您可以使用像NinjaScanner这样的插件来扫描您的数据库。

WP-Optimize插件可让您清理数据库并为未来优化。

如何防止您的WordPress网站被黑客入侵

所以你已经清理了你的网站，你已经重置了你的密码，所以它比以前更安全了。

但是，您还可以做更多的事情来防止未来的黑客攻击并避免再次发生同样的事情。

1.确保所有密码都是安全的

如果您还没有，请确保与您的网站相关的所有密码（不仅仅是您的 WordPress 管理员密码）都已重置，并且您使用的是强密码。

安全插件可让您强制用户使用安全密码。

您还可以向您的网站添加双重身份验证，以使黑客更难创建帐户。

2.保持您的网站更新

让您的网站保持最新很重要。每次更新您的主题、插件或WordPress本身时，您都应该运行该更新，因为它通常包含安全补丁。

您可以通过编辑wp-config.php文件或安装插件来启用自动更新。如果您不想这样做，因为您想先测试更新，安全插件会在您需要运行更新时通知您。

3. 不要安装不安全的插件或主题

将来安装WordPress插件时，请确保它们已使用您的WordPress版本进行了测试，并且您从信誉良好的来源下载它们。

始终通过主题和插件目录安装免费插件和主题：不要试图从第三方站点获取它们。如果您要购买高级主题或插件，请检查插件供应商的声誉并寻求建议。

4.清理你的WordPress安装

如果您安装了任何主题或插件但未激活，请删除它们。如果您的托管环境中有任何未使用的文件或旧WordPress安装，是时候删除它们了。删除您不使用的任何数据库。

如果您的服务器上有旧的、未使用的WordPress安装，它们将特别容易受到攻击，因为您不太可能使它们保持最新状态。

5. 在您的网站上安装SSL

SSL将为您的站点增加一层安全性。如果您的托管服务提供商不提供免费SSL，您可以使用SSL Zen插件添加免费的Let’s Encrypt SSL。

6.避免廉价托管

廉价托管意味着您将与数百个其他客户端共享服务器空间。这不仅会减慢您的站点速度，还会增加其他站点之一向服务器引入不安全性的机会。

廉价的托管服务提供商不太可能可靠地监控服务器安全性或在您的网站被黑客入侵时为您提供帮助。=

7.设置防火墙

安全插件或Cloudflare或Sucuri等服务可让您为您的站点配置防火墙。这将为黑客增加额外的障碍，并减少您的网站遭到黑客攻击和DDoS 攻击的机会。

8. 安装安全插件

如果您在网站上安装安全插件，它会通知您任何可疑活动。这可能包括未经授权的登录或添加不应存在的文件。

同样，请参阅插件提供的警告以找出问题所在。

9.考虑一个安全服务

您可能需要考虑像Sucuri这样的安全服务，它会监控您的网站并在您再次被黑客入侵时修复它。

Sucuri

它并不便宜，但如果您的网站对您的业务收入至关重要，它可以收回成本。有不同的计划为安全修复提供不同的周转时间。Sucuri将监控您的网站，在存在安全漏洞时提醒您，并为您修复。这意味着您不必再次自己清理网站。

或者，服务器提供商附带安全功能，包括DDoS检测、正常运行时间监控、硬件墙和无黑客保证，这意味着如果您的网站被黑客入侵，我们将为您清理它。

小结

让您的网站被黑是一种不愉快的体验。这意味着您的网站对用户不可用，这可能会影响您的业务。这意味着您必须迅速采取行动，这将影响您的其他活动。

如果您的网站被黑客入侵，以下是您需要采取的步骤的回顾：

• 重置密码。
• 更新插件和主题。
• 删除不应该存在的用户。
• 删除不需要的文件。
• 清理您的站点地图。
• 重新安装插件和主题，以及WordPress核心。
• 如有必要，清理您的数据库。

请记住：按照上述步骤防止黑客攻击将避免您将来不得不再次执行所有这些操作：让您的网站尽可能安全是值得的。