上一篇
WordPress隐藏后台登录入口是指通过修改默认登录页面地址、设置访问验证或限制来源IP，使 /wp-admin 和 /wp-login.php 不再对所有人开放,从而降低后台被恶意扫描和暴力免费风险的一种安全加固方式。
默认后台入口的风险
WordPress 默认后台登录地址是 /wp-admin 和 /wp-login.php，只要网站使用 WordPress，这两个路径通常非常容易被识别，攻破者会使用自动化工具批量扫描这些默认地址，然后尝试使用常见用户名和弱密码组合进行暴力登录，一旦登录成功，攻破者就可以安装恶意插件、改动网站内容、窃取用户数据，甚至进一步控制服务器，将默认登录入口隐藏起来,能够有效减少无差别扫描和机器人攻破对网站后台的威胁。
使用插件隐藏登录地址
插件方式是隐藏 WordPress 后台登录入口最简单、兼容性最好的实现方法，以 WPS Hide Login 为例，安装后不需要修改网站核心文件，直接进入后台设置即可完成登录地址修改，可以将默认的 /wp-login.php 改为 /portal、/my-login 或 /admin-area 等自定义路径，保存设置后，访问原来的 /wp-login.php 会返回 404 页面或跳转到首页,只有访问新的自定义路径才会显示登录表单。
使用插件隐藏登录地址的操作步骤如下：
在 WordPress 后台插件页面搜索并安装 WPS Hide Login。
启用插件后，进入“设置 → 常规”页面。
找到登录 URL 相关选项，输入新的登录地址，
my-site-login。保存设置,并退出当前后台登录状态。
在浏览器中打开新的登录地址,确认可以正常显示登录页面。
插件方式的优势在于，即使升级 WordPress 或更换主题，自定义登录路径通常也不会失效，它通过 WordPress 自身的重写规则实现，不需要额外配置服务器，对于大多数网站来说,使用插件隐藏后台入口是最省时省力的方案。
使用代码修改登录入口
如果不希望安装额外插件，也可以通过主题的 functions.php 文件添加代码，让默认登录页面只有在 URL 中携带正确参数时才能访问，下面是一段可以在不破坏 WordPress 登录机制的前提下增加访问口令的代码：
add_action('login_init',function(){
$key=isset($_GET['secret'])?sanitize_text_field($_GET['secret']):'';
if($key!=='your-strong-key-2025'){
wp_safe_redirect(home_url('/'));
exit;
}
});这段代码的作用是，当访问 /wp-login.php 时，URL 中没有携带正确的 secret 参数，或者参数值与设置不一致，页面会直接跳转到网站首页,只有访问类似下面这种地址时才会显示登录表单：
/wp-login.php?secret=your-strong-key-2025
这种方式不依赖插件，但需要一定的代码操作能力，修改 functions.php 文件时如果出现语法错误，可能会导致网站无法正常访问，建议在修改前备份文件，或者准备通过 FTP 或主机面板恢复文件，代码方式适合不希望安装额外插件、并且对 WordPress 主题文件比较熟悉的用户。
通过 .htaccess 限制访问
如果网站运行在 Apache 服务器上，可以在网站根目录的 .htaccess 文件中添加规则，对 wp-login.php 进行访问控制，只允许指定 IP 地址访问登录页面：
<Fileswp-login.php> OrderDeny,Allow Denyfromall Allowfrom123.456.789.000 </Files>
Apache 2.4 及以上版本推荐使用以下写法：
<Fileswp-login.php> Requirealldenied Requireip123.456.789.000 </Files>
这样，除指定 IP 外，其他所有访问者打开 /wp-login.php 都会被服务器直接拒绝，请求不会进入 WordPress 程序处理，还可以在 .htaccess 中为登录页面增加 HTTP 基础认证,访客需要输入一组额外的用户名和密码才能继续访问：
<Fileswp-login.php> AuthTypeBasic AuthName"RestrictedAccess" AuthUserFile/path/to/.htpasswd Requirevalid-user </Files>
使用这种方式前需要在服务器上创建 .htpasswd 文件并设置加密密码，HTTP 基础认证的安全性较高，但每次登录都需要输入两次凭据,使用起来稍显不便。
Nginx 服务器配置
如果网站使用 Nginx，可以在网站配置文件中增加 location 规则，限制 /wp-login.php 的访问,典型配置如下：
location=/wp-login.php{
allow123.456.789.000;
denyall;
includefastcgi_params;
fastcgi_passunix:/var/run/php/php8.1-fpm.sock;
fastcgi_paramSCRIPT_FILENAME$document_root$fastcgi_script_name;
}这个规则只允许指定 IP 访问 wp-login.php，其他地址会收到 403 错误，修改后需要重新加载 Nginx 配置，例如执行 nginx -s reload，如果网站使用了反向代理或 CDN，需要注意正确获取真实访问者 IP,否则可能错误限制所有访问者或导致规则无法生效。
使用安全插件的高级隐藏功能
一些 WordPress 安全插件也内置了隐藏后台入口的功能，Shield Security、All In One WP Security & Firewall、iThemes Security 等，这类插件通常可以同时启用登录地址修改、登录失败次数限制、双因素认证和防火墙规则，使用安全插件的好处是多个安全功能可以在同一界面中统一管理,不需要分别配置。
以 All In One WP Security & Firewall 为例，进入暴力免费防护设置后，可以开启基于 Cookie 的登录保护，开启后，只有通过插件生成的临时链接访问登录页时才会显示登录表单，直接访问 /wp-login.php 会被拦截，这种 Cookie 验证方式比单纯修改登录地址更加隐蔽，攻破者即使知道真实地址，没有有效 Cookie 也无法加载登录表单。
隐藏后台入口后的注意事项
更改登录地址后，需要妥善保存新的 URL 和密钥，如果使用代码限制参数访问，忘记参数值会让自己也无法进入后台，建议将新的登录地址保存在密码管理器或网站文档中，不要使用过于简单的路径，/login、/admin、/backend，因为这些路径同样是扫描器重点尝试对象，应选用无规律、不易猜中的字符串，/company-2025-portal 或 /sx9m2-login。
还需要注意，某些安全插件、缓存插件和 CDN 可能会缓存登录页面或重定向规则，导致自定义登录地址无法正常工作，如果遇到新地址打不开，可以尝试清除插件缓存、CDN 缓存和本地浏览器缓存，更换登录地址后，管理员和其他用户的登录入口都会改变，如果网站有多位作者或编辑,需要及时通知新地址。
隐藏入口不能替代其他安全措施
隐藏后台登录入口只是减少网站暴露面的一种方式，并不能完全阻止定向攻破，攻破者仍可能通过 XML-RPC、REST API、漏洞插件或钓鱼手段获取登录凭证，在使用隐藏入口的同时，仍应启用高强度密码、限制登录尝试次数、开启双因素认证、定期更新 WordPress 核心、主题和插件，服务器层面还应设置合理的文件权限、数据库安全和自动备份机制，只有多层防护叠加,网站后台的安全性才能得到有效提升。
下一篇
