为什么 wp-login.php 是 WordPress 最先失守的门
每一个 WordPress 站点的登录入口都是同一个固定地址 wp-login.php，这给了攻击者一个不需要侦察的默认目标：他们用自动化脚本对着这个地址不断尝试”用户名 admin + 常见密码”的组合，一天跑上万次毫无技术门槛。为什么明知道会被扫，还是有大量站点中招？因为默认安装的 WordPress 对登录尝试次数没有任何限制，脚本可以无限试错。解决这个问题的思路是分层的：让程序层限制尝试频率、加验证码提高机器成本、让服务器层直接拦截高频 IP。本文按这三层展开，每层都给出具体配置步骤和验证方法，帮助你在 20 分钟内部署完一套针对 wp-login.php 暴力破解（用程序穷举密码组合入侵账户的攻击方式）的实用防线。
动手之前先确认两件基础事实：一是管理员账户名不要用 admin——如果还在用，先在后台新建一个其他名字的管理员再删掉 admin，这一步本身就能过滤掉大部分无脑脚本；二是当前 WordPress 和插件都更新到最新版，老版本的已知漏洞不是本文讨论的登录爆破问题，但同样会被扫描利用。
第一层：登录失败锁定与验证码
程序层的防护目标是让脚本”试不了几次就被卡住”，主流方案是失败锁定插件加验证码的组合：
- 安装 Limit Login Attempts Reloaded 这类失败锁定插件，默认配置”同一 IP 20 分钟内失败 3 次即锁定 20 分钟，累计 4 次锁定 24 小时”，对正常用户几乎无感，对脚本则是硬墙
- 在插件里开启登录页数学验证码或 reCAPTCHA（谷歌的人机验证服务，国内站点可选数学题或 hCaptcha 替代），机器脚本无法自动填写，成本直接抬高一档
- 开启插件自带的邮件通知，锁定事件发生时收到提醒，能顺便判断站点是否正被持续攻击
- 验证方式：用错误密码故意登录 4 次，确认第四次开始返回锁定提示，而不是无限允许重试
两个常见的配置误区值得提醒：一是锁定阈值设得太苛刻（比如失败 1 次锁 1 天），容易把自己和真实用户都锁在门外，建议锁定后保留”通过邮箱解锁”的通道；二是只装了锁定插件但没开验证码，高级脚本会自动放慢速度绕过次数限制，验证码才是真正让自动化无利可图的那道闸。[虚拟主机](https://cn.hostease.com/web-hosting/)环境下插件方案完全够用，不需要改任何[服务器配置](https://cn.hostease.com/blog/server/)。
第二层：修改登录地址与服务器层限速
程序层之外，还可以让攻击脚本连入口都找不到。修改默认登录地址有两种实现方式：
- 插件方式：WPS Hide Login 等插件把登录地址改为自定义路径（例如
/my-secret-login/），原wp-login.php返回 404。操作前务必把新地址记进密码管理器——忘了新地址等于把自己锁在站外，恢复需要进数据库改插件目录名 - 服务器层限速：Hostease 的虚拟主机和 [VPS](https://cn.hostease.com/vps/) 环境如果启用了 Apache，可以在网站根目录的
.htaccess中加入针对wp-login.php的限速规则（mod_rewrite 配合 LIMITIP 类规则），把同一 IP 每分钟的请求数压到个位数；Nginx 环境则用limit_req模块实现同样效果
服务器层方案的效果可以用数据衡量：公开的蜜罐项目统计显示，未加防护的 wp-login.php 每天平均承受数百到数千次爆破尝试，而修改登录地址后，绝大多数针对默认路径的脚本流量直接消失，日志里剩下的才是需要认真对待的针对性攻击。修改登录地址后记得同步清理缓存插件和 CDN（内容分发网络）的缓存规则，否则旧地址可能仍被缓存放行。想深入了解服务器层的访问控制原理，可以参考本站服务器分类中关于访问限制的教程。
第三层：双因素验证与持续监控
对于安全性要求更高的站点，在锁定和验证码之上再加双因素验证（2FA，登录时除密码外还要输入手机上的动态验证码）：Wordfence 或插件市场里的 2FA 类插件都支持，管理员账户强制开启即可，普通订阅者用户可以不启用。开启后即使密码被撞库泄露，攻击者没有你的手机也进不了后台，这是目前性价比最高的账户级防线。
持续监控比一次性部署更重要。建议每月做三件事：查看失败锁定插件的日志，观察攻击来源 IP 是否集中（集中时可以把整段 IP 加入黑名单）；用 grep "wp-login.php" 访问日志 | wc -l 这类命令对比当月与上月的爆破请求量，验证防护措施的实际效果；检查管理员用户列表，确认没有陌生的管理员账户。如果日志显示攻击量持续攀升且服务器开始吃力，说明共享环境的资源已经不够用，可以考虑升级到 VPS 主机获得独立资源。
总结与行动建议
整套防护的优先级排序很清晰：先改掉 admin 用户名并更新核心程序（零成本）；然后部署失败锁定加验证码（10 分钟）；有余力再改登录地址、加双因素验证（各 10 分钟）；最后建立每月查看锁定日志的习惯。四层防线叠加后，针对 wp-login.php 的自动化爆破基本无利可图，攻击者会转向更容易的目标。
建议从今天开始执行第一层配置，本周末前完成全部四层；WordPress 主题与插件的其他安全加固，可以延伸阅读本站 WordPress 分类的系列文章，虚拟主机环境下的整体安全方案可参考 虚拟主机页面的安全特性说明。如果你需要一份可勾选的检查表，建议把”改用户名、开锁定、开验证码、改地址、开 2FA、看日志”六项做成季度巡检清单——安全措施的价值不在装了多少，在于每季度都在验证它们仍然生效。