利用.htaccess文件提高WordPress的安详性

　　.htaccess 是一个非凡的文件，它能改变你处事器上的配置和答允你做许多差异的东东，如它能定制化 404 错误页面。.htaccess 其实并不难，我们可以把它认为它只是由一些简朴呼吁可能用法说明构成的文本文件，不外它却能极大的提高站点的安详性。

1、掩护 .htaccess 自身的安详性

　　阻止用户通过读取和写入 .htaceess 来变动处事器安详性的配置。

<files .htaccess>
order allow,deny
deny from all
</files>2、埋没处事器的数字签名

　　埋没处事器的数字签名之后，入侵者将很难有时机找到安详裂痕，因为他们不知道背后的处事器是什么。

ServerSignature Off3、限制上传文件的巨细

　　这个可以或许辅佐阻止 DoS 进攻（用户通过上传庞大的文件来冲毁处事器）而且可以或许节省带宽。

LimitRequestBody 10240000# limit file uploads to 10mb4、遏制 mod_security 过滤器

　　这是一个可选的配置而且要小心处理惩罚。这些指令汇报处事器不要利用 mod_security 过滤器，因为 mod_security 过滤器不答允用户颁发含有这些单词 "curl"，"lynx" 可能 "wget" 等等单词的文章。这个看起来有点琐碎，可是这个让一些站颔首痛，因为这些单词险些那些站点天天城市用到。

SecFilterInheritance Off5、掩护 wp-config.php 文件

　　我们可以通过 .htaccess 文件阻止用户读取和写入 WordPress 的设置文件。这个指令假设 WordPress 是安装在根目次。

<files wp-config.php>order allow,denydeny from all</files> 6、自界说错误文档

　　这条指令做的更多是站点的可用性而不是安详性。它们指定了一旦处事器错误，哪个页面将被显示，如页面找不到（代码 404） 克制会见（代码 403）等等。

ErrorDocument 404 /notfound.php
ErrorDocument 403 /forbidden.php
ErrorDocument 500 /error.php 7、克制欣赏目次

　　这将阻止处事器在没有 index 文件（如 index.html，index.php 等等）的环境下显示文件夹目次内容，阻止用户看到文件夹的内容使得更难对网站动员进攻。

# disable directory browsing
Options All -Indexes8、防备图片盗链

　　这个可以或许阻止其他网站盗链本网站的图片，迫使他们 要么指向整个页面，可能其他存储图像的处所。这个生存了名贵的带宽而且可以或许增加流量（固然只是一点点）。当有人试着直接链接到你的网站来显示图片，下面的代码将会得显示

stealingisbad.gif

　　这张图片。

#disable hotlinking of images
RewriteEngine onRewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^(www\.)?yourdomain.com/.*$ [NC]
RewriteRule \.(gif|jpg|png)$ [R,L]9、在你的站点给每个 URL 配置切合划定的可能"尺度"的链接

　　这可以或许辅佐提高网站的可用性和提高网站在搜索引擎中的排名。总之，它会把来自

　　的请求重定向到

# set the canonical url
RewriteEngine On
RewriteCond %{HTTP_HOST} ^yourdomain\.com$ [NC]
RewriteRule ^(.*)$ $1 [R=301,L]10、掩护博客免受垃圾留言的侵扰

　　最后的那条指令将会阻止用户直接从其他网站的留言提交框颁发留言，固然这不是一个可以的防备所有垃圾垃圾留言的要领，可是它确实可以或许辅佐你。

# protect from spam comments
RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
RewriteCond %{HTTP_REFERER} !.*yourdomain.com.* [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule (.*) ^%{REMOTE_ADDR}/$ [R=301,L]

　　插手这些指令之后，你应该添加 WordPress 用于打点永久链接的代码。尚有许多的指令和许多的要领可以提高网站的可用性和安详性，不外这里所列出的应该占了日常所需的大部门了。当你上传该文件随处事 器上之后，你应该仔细测试直到所有的对象都事情正常。查抄下是否受掩护的文件还能不能被会见，你依旧答允会见的文件和文件夹可否还能会见。

WordPress v3.5.2 简体中文版下载