宝塔面板怎么防篡改

学完这篇，你可以在宝塔 Linux 面板里给网站目录开启防篡改、配置正常写入的白名单、查看拦截日志，并用几条 SSH 命令给关键文件加最后一道锁。

第一步：先备份，再确认面板版本和网站目录

这一步要拿到两个信息：面板版本和网站根目录，避免后面插件界面和路径对不上。登录宝塔面板后，看右上角版本号，本文以宝塔 Linux 面板 9.2.0 为例；再点左侧“网站”，找到目标站点，点“根目录”复制路径，一般是 /www/wwwroot/example.com。

注意：防篡改不是备份。开启前先在“计划任务”里做一次网站文件和数据库备份，否则文件被锁后程序升级、上传、更新都可能失败。

第二步：在软件商店安装防篡改插件

这一步要装上防篡改程序，装完会出现防护目录、排除目录和拦截日志入口。点左侧菜单“软件商店”，在顶部搜索框输入“防篡改”，找到“网站防篡改”或“堡塔防篡改”，点“安装”。如果显示付费，按页面提示开通；企业版通常可直接安装。安装完成后回到“软件商店”->“已安装”，找到该插件，点“设置”。

注意：Windows 版宝塔一般没有同款 Linux 防篡改插件，别在 Windows 面板里硬找。

第三步：添加要保护的网站目录

这一步把网站根目录加入防护，新增、修改、删除文件会被拦截并记日志。在插件设置页点“防护目录”->“添加”，路径填 /www/wwwroot/example.com，保护模式选“只读保护”或“防篡改”，保存。不要一上来就保护整个 /www/wwwroot，否则所有站点上传、缓存、日志都可能写不进去。

第四步：配置排除目录，别把正常写入也拦了

这一步让上传、缓存、日志等目录继续可写，否则网站会报错。点“排除目录”或“白名单”->“添加排除”。WordPress 至少排除：/www/wwwroot/example.com/wp-content/uploads、/wp-content/cache、/wp-content/upgrade；ThinkPHP 排除 runtime；Laravel 排除 storage、bootstrap/cache；宝塔默认站点可排除 cache、logs、tmp、session。保存后，插件会只保护核心程序文件。

注意：上传目录千万不能锁。锁了以后后台传图片会提示“无法移动文件”或“权限不足”。

第五步：开启监控告警，并会看拦截日志

这一步让文件被改时留下记录，必要时能收到通知。在插件设置页打开“监控开关”“拦截日志”，如果有“邮件告警”“钉钉告警”“企业微信告警”，填好对应地址或邮箱。之后在“拦截日志”里看时间、文件路径、进程、来源 IP。发现陌生进程反复改 index.php、functions.php，先别只删文件，要查木马和计划任务。

第六步：加固宝塔面板自身

这一步防止别人先进面板，再关掉你的防篡改。点左侧“面板设置”->“安全设置”，修改面板默认端口，开启“面板SSL”，设置复杂“安全入口”，绑定访问域名；再到“SSH管理”->“SSH安全”，修改 SSH 端口，关闭密码登录，改用密钥登录，并开启 SSH 登录告警。

注意：改端口和安全入口后一定记牢。自己进不去面板，只能进服务器后台用命令改回来。

第七步：用 chattr 给关键单文件兜底

这一步在插件之外再锁一层，适合不常改的核心文件。用 SSH 登录服务器，执行：

chattr +i /www/wwwroot/example.com/index.php
lsattr /www/wwwroot/example.com/index.php

看到 i 属性表示已锁定。需要更新时执行 chattr -i 文件路径 解锁。

注意：不要对整站执行 chattr -R +i，否则 WordPress 更新、插件安装、日志写入都会失败。只锁单文件，并先测试。

第八步：验证防篡改是否生效

这一步确认拦截和放行都正常。用面板文件管理器尝试修改受保护目录里的 index.php，应提示无权限或被拦截；再到 wp-content/uploads 上传一张图片，应成功。最后回到插件“拦截日志”，能看到刚才的修改记录，就说明配置生效。

小结

防篡改的核心是“保护核心文件，放行上传缓存”；插件负责拦截和记录，排除目录决定网站能不能正常跑；面板端口、SSL、安全入口、SSH 密钥要一起加固；chattr +i 只适合锁单个关键文件，不能锁整站；开启前先备份，开启后定期看拦截日志。