WordPress设置权限的最佳实践：避开这些坑，网站安全不再愁

改个需求建站公司拖一周，你是不是也遇到过这种事？建站公司说要重新配置权限，结果拖了三天没结果，网站还被黑了？别急，今天咱们就来聊聊 WordPress 设置权限的 最佳实践，从零到一帮你搞定权限配置，确保网站安全、稳定、合规。

威胁场景：权限错误，网站秒变“开门揖盗”

WordPress 作为全球使用最广泛的 CMS 系统，其灵活性和可扩展性吸引了大量开发者和企业用户，但同时也成为黑客的“香饽饽”。如果 WordPress 的权限设置不当，轻则内容被篡改，重则整个网站被黑，甚至被用来发动 DDoS 攻击。

常见威胁类型

文件权限过高：如果 WordPress 文件权限设置为 777，意味着任何人都可以读取、写入、执行文件，这给黑客提供了可乘之机。
目录权限宽松：wp-content、wp-admin 等目录如果权限设置不合理，可能会被攻击者上传恶意文件。
用户权限过大：如管理员账号被赋予了不必要的权限，一旦被入侵，后果不堪设想。
插件与主题权限问题：某些插件或主题如果权限设置不当，可能成为入侵的入口。

真实案例

2021 年，某外贸网站使用 WordPress 建站，由于 wp-content 文件夹权限为 777，攻击者利用漏洞上传了后门程序，最终导致网站被植入恶意代码，IP 被加入黑名单，网站被封。

漏洞原理：权限配置错误为何会导致安全风险

WordPress 是基于 PHP 的内容管理系统，运行在 Linux 服务器上。它的文件和目录权限由系统文件权限控制，比如 Linux 中的 chmod 和 chown 命令。如果权限配置不正确，攻击者可以通过以下方式入侵：

权限过高的危害

在 Linux 系统中，文件权限由三位数字组成，分别表示用户（User）、组（Group）和其他人（Other）的权限。比如 777 表示所有人都有读、写、执行权限，而 644 则表示只有用户可读写，其他用户只能读。

如果 WordPress 核心文件权限设置为 777，那么攻击者就可以随意修改、删除或上传文件，甚至注入恶意代码。

用户权限滥用

WordPress 的用户系统有不同角色，比如管理员、编辑、作者等。如果管理员账户被赋予了过多的权限（如插件管理、主题管理、数据库访问等），一旦被攻击者获取密码，后果不堪设想。

插件与主题的权限风险

某些插件或主题可能存在权限配置错误，比如上传目录权限设置为 777，或者未限制某些文件的访问权限，这会成为攻击者的突破口。

防护方案：从零开始配置 WordPress 权限

1. 基础权限设置

原则：最小权限原则，即只给用户或目录授予完成任务所需的最少权限。

文件权限设置

核心文件（如 wp-config.php）：应设置为 644。
目录（如 wp-content）：应设置为 755。
上传文件（如图片、视频）：设置为 644。
可执行文件（如 PHP 脚本）：设置为 644。
日志文件、缓存文件：设置为 640。

用户权限设置

网站运行用户（如 www-data、nginx 或 apache）：确保其对 WordPress 文件夹有读写权限，但不要赋予执行权限。
避免使用 root 账户运行网站，使用普通用户账户（如 www-data）。

使用命令行设置权限（Linux 系统）

# 设置 wp-content 目录权限
chmod -R 755 wp-content# 设置 WordPress 核心文件权限
find . -type f -name "*.php" -exec chmod 644 {} \;# 设置 WordPress 目录权限
find . -type d -exec chmod 755 {} \;

2. 插件与主题的安全配置

很多插件和主题在上传或安装时，会创建一些目录或文件，比如上传文件夹 uploads/。这些目录应设置为 755，文件为 644。

配置 WordPress 安全插件

安装如 Wordfence、iThemes Security、All In One WP Security & Firewall 等安全插件，可以自动检测权限问题，并进行修复。

检查插件权限

如果插件或主题存在权限漏洞，建议去官方文档查看权限配置建议，或者直接联系插件开发者。

检测与修复：发现权限错误并修复

1. 手动检查权限

在 Linux 服务器上，使用 ls -la 命令查看文件和目录权限：

ls -la /var/www/html/

重点关注以下目录和文件：

wp-config.php：应为 644
wp-content：应为 755
wp-admin：应为 755
wp-includes：应为 755

2. 使用插件自动检测

在 WordPress 后台安装插件如 Wordfence Security，其“扫描”功能可以自动检测权限错误，并提供修复建议。

3. 手动修复权限错误

如果发现权限设置为 777，使用以下命令修复：

find /var/www/html -type f -name "*.php" -exec chmod 644 {} \;
find /var/www/html -type d -exec chmod 755 {} \;

4. 检查用户权限

在 WordPress 后台进入“用户” → “所有用户”，查看每个用户的权限是否合理，避免将管理员权限赋予无关用户。

安全加固清单：WordPress 权限设置必须包含的事项

为了确保 WordPress 的安全性，建议按照以下清单进行权限配置：

项目	操作	建议权限
wp-config.php	设置文件权限	644
wp-content	设置目录权限	755
wp-admin	设置目录权限	755
wp-includes	设置目录权限	755
uploads/	设置目录权限	755
所有 PHP 文件	设置文件权限	644
日志/缓存文件	设置文件权限	640
WordPress 运行用户	确保用户有读写权限，不使用 root	www-data
插件/主题	安装后检查权限	644 / 755