使用 .htaccess 提高 WordPress 的安全性和可用性

秋子淡无痕

.htaccess 是一个特殊的文件，它能改变你服务器上的设置和允许你做很多不同的东东，如它能定制化 404 错误页面。.htaccess 其实并不难，我们可以把它认为它只是由一些简单命令或者用法说明组成的文本文件，不过它却能极大的提高站点的安全性。

1. 保护 .htaccess 自身的安全性

阻止用户通过读取和写入 .htaceess 来更改服务器安全性的设置。

1. <files .htaccess>
   
2. order allow,deny
   
3. deny from all
   
4. </files>

复制代码

2. 隐藏服务器的数字签名

隐藏服务器的数字签名之后，入侵者将很难有机会找到安全漏洞，因为他们不知道背后的服务器是什么。

1. ServerSignature Off

复制代码

3. 限制上传文件的大小

这个能够帮助阻止 DoS 攻击（用户通过上传巨大的文件来冲垮服务器）并且能够节约带宽。

1. LimitRequestBody 10240000
   
2. # limit file uploads to 10mb

复制代码

4. 停止 mod_security 过滤器

这是一个可选的设置并且要小心处理。这些指令告诉服务器不要使用 mod_security 过滤器，因为 mod_security 过滤器不允许用户发表含有这些单词 “curl”，“lynx” 或者 “wget” 等等单词的文章。这个看起来有点琐碎，但是这个让一些站点头痛，因为这些单词几乎那些站点每天都会用到。

1. SecFilterInheritance Off

复制代码

5. 保护 wp-config.php 文件

我们可以通过 .htaccess 文件阻止用户读取和写入 WordPress 的配置文件。这个指令假设 WordPress 是安装在根目录。

1. <files wp-config.php>
   
2. order allow,deny
   
3. deny from all
   
4. </files>

复制代码

6. 自定义错误文档

这条指令做的更多是站点的可用性而不是安全性。它们指定了一旦服务器错误，哪个页面将被显示，如页面找不到（代码 404） 禁止访问（代码 403）等等。

1. ErrorDocument 404 /notfound.php
   
2. ErrorDocument 403 /forbidden.php
   
3. ErrorDocument 500 /error.php

复制代码

7. 禁止浏览目录

这将阻止服务器在没有 index 文件（如 index.html，index.php 等等）的情况下显示文件夹目录内容，阻止用户看到文件夹的内容使得更难对网站发动攻击。

1. # disable directory browsing
   
2. Options All -Indexes

复制代码

8. 防止图片盗链

这个能够阻止其他网站盗链本网站的图片，迫使他们 要么指向整个页面，或者其他存储图像的地方。这个保存了宝贵的带宽并且能够增加流量（虽然只是一点点）。当有人试着直接链接到你的网站来显示图片，下面的代码将会得显示 stealingisbad.gif 这张图片。

1. #disable hotlinking of images
   
2. RewriteEngine on
   
3. RewriteCond %{HTTP_REFERER} !^$
   
4. RewriteCond %{HTTP_REFERER} !^http://(www\.)?yourdomain.com/.*$ [NC]
   
5. RewriteRule \.(gif|jpg|png)$ http://www.yourdomain.com/stealingisbad.gif [R,L]

复制代码

9. 在你的站点给每个 URL 设置符合规定的或者“标准”的链接

这能够帮助提高网站的可用性和提高网站在搜索引擎中的排名。总之，它会把来自 http://yourdomain.com 的请求重定向到 http://www.yourdomain.com/.

1. # set the canonical url
   
2. RewriteEngine On
   
3. RewriteCond %{HTTP_HOST} ^yourdomain\.com$ [NC]
   
4. RewriteRule ^(.*)$ http://www.yourdomain.com/$1 [R=301,L]

复制代码

10. 保护博客免受垃圾留言的侵扰

最后的那条指令将会阻止用户直接从其他网站的留言提交框发表留言，虽然这不是一个可以的防止所有垃圾垃圾留言的方法，但是它确实能够帮助你。

1. # protect from spam comments
   
2. RewriteEngine On
   
3. RewriteCond %{REQUEST_METHOD} POST
   
4. RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
   
5. RewriteCond %{HTTP_REFERER} !.*yourdomain.com.* [OR]
   
6. RewriteCond %{HTTP_USER_AGENT} ^$
   
7. RewriteRule (.*) ^http://%{REMOTE_ADDR}/$ [R=301,L]

复制代码

加入这些指令之后，你应该添加 WordPress 用于管理永久链接的代码。还有很多的指令和很多的方法可以提高网站的可用性和安全性，不过这里所列出的应该占了日常所需的大部分了。当你上传该文件到服务 器上之后，你应该仔细测试直到所有的东西都工作正常。检查下是否受保护的文件还能不能被访问，你依旧允许访问的文件和文件夹能 否还能访问。

原文：http://fairyfish.net/2007/08/01/ ... -improve-wordpress/