宝塔面板站点伪静态等核心配置文件完整隐藏零门槛实操指南

为什么需要隐藏站点核心配置文件 宝塔面板默认创建站点时，会自动在根目录生成`nginx.htaccess`、`apache.htaccess`、`user.ini`、`.htaccess`（如果选了伪静态）这类核心文件，其中可能包含：伪静态规则、URL重定向、PHP版本切换、上传限制、防爬虫/CC的临时规则片段等敏感信息，一旦被恶意爬虫或访问者直接获取，可能导致站点被针对性攻击，所以必须隐藏。 操作前的必要准备 1. 登录宝塔面板：确保有站点的管理员权限（至少是对应站点的“所有者”或“超级管理员”） 2. 备份当前站点配置： - 操作路径：点击左侧「网站」→ 找到目标站点→ 点击站点名→ 弹出框中点击「备份」→ 备份类型勾选「站点目录」「伪静态」「SSL证书」（可选，为了安全）→ 点击「开始备份」，等待备份完成（备份文件会存在`/www/backup/site/`下） 3. 确认站点Web服务器类型：操作路径：点击左侧「软件商店」→ 找到已安装并运行的Web服务器（Nginx或Apache，OpenLiteSpeed也用Nginx子配置逻辑） Nginx环境下的完整隐藏方案 方案一：修改Nginx主配置全局生效（推荐所有站点使用） 全局生效后，新建站点无需再单独配置，适合多站点用户。 1. 打开Nginx主配置：点击左侧「软件商店」→ 找到Nginx→ 点击「设置」→ 点击「配置修改」 2. 在http块内插入隐藏规则：找到配置文件中最外层的`http {`块，在块内任意空白处（比如在`include /www/server/panel/vhost/nginx/.conf;`这行的上方或下方均可）插入以下完整可复制代码： ```nginx 隐藏所有站点根目录下的核心敏感文件 location ~ /(\.user\.ini|\.htaccess|\.htpasswd|\.git|\.svn|\.hg|\.bzr|\.DS_Store|Thumbs\.db|nginx\.htaccess|apache\.htaccess|nginx\.conf|apache\.conf|wp-config\.php\.bak|wp-config\.php\.old)$ { deny all; access_log off; log_not_found off; return 404; } ``` - 代码解读： - `location ~`：表示开启正则匹配 - `/(\.user\.ini|...)$`：匹配以根目录下的这些敏感文件结尾的请求 - `deny all;`：禁止所有IP访问 - `access_log off;`：不记录访问日志（减少日志冗余） - `log_not_found off;`：不记录文件不存在的日志 - `return 404;`：直接返回404（比返回403更安全，让攻击者不知道文件真实存在） 3. 保存并重载Nginx：点击「配置修改」页面右上角的「保存」→ 点击弹窗中的「重载配置」（不是“重启服务”，避免影响在线用户） 方案二：修改单个站点的Nginx子配置（仅适用于单站点或少数站点） 如果不想全局生效，可以单独配置目标站点。 1. 打开单个站点Nginx子配置：点击左侧「网站」→ 找到目标站点→ 点击站点名→ 弹出框中点击「配置文件」 2. 在server块内插入隐藏规则：找到配置文件中的`server {`块，在块内任意空白处（比如在伪静态规则的`include`行上方）插入和方案一完全相同的代码块 3. 保存并重载Nginx：同上 Nginx环境下的验证方法 1. 在浏览器地址栏输入：`你的域名/.user.ini`、`你的域名/.htaccess`、`你的域名/nginx.htaccess` 2. 若所有请求都返回404 Not Found，且宝塔面板左侧「文件」→ 进入站点根目录还能正常看到这些文件，说明配置成功 Apache环境下的完整隐藏方案 方案一：修改Apache主配置全局生效（推荐） 全局生效后无需重复配置，适合多站点用户。 1. 打开Apache主配置：点击左侧「软件商店」→ 找到Apache→ 点击「设置」→ 点击「配置修改」 2. 在httpd.conf的块内插入规则：找到配置文件中默认的`ServerName www.example.com:80`下方或末尾的``块，在块内`AllowOverride All`（如果没有这行，先加上这行，否则无法生效隐藏规则）的下方或上方插入以下完整可复制代码： ```apache 隐藏根目录下的核心敏感文件 Order allow,deny Deny from all Satisfy All ErrorDocument 403 /404.html ``` - 代码解读： - ``：开启Apache的文件正则匹配 - `ErrorDocument 403 /404.html`：将Apache默认返回的403错误伪装成404（如果你的站点没有404.html文件，这行可以改成`ErrorDocument 403 "404 Not Found"`，但用静态404页面更美观） 3. 保存并重载Apache：点击「配置修改」页面右上角的「保存」→ 点击弹窗中的「重载配置」 方案二：用站点根目录的.htaccess文件（仅适用于单站点，适合不想改主配置的用户） 注意：如果用这个方案，必须先确保Apache主配置中该站点根目录的AllowOverride是All或至少包含FileInfo和Limit（默认宝塔面板创建Apache站点时已经开启AllowOverride All）。 1. 打开站点根目录：点击左侧「文件」→ 进入`/www/wwwroot/你的域名/` 2. 检查是否存在.htaccess：如果没有，点击右上角「+新建」→ 选择「文件」→ 文件名输入`.htaccess`→ 点击「确定」 3. 编辑.htaccess插入规则：右键点击`.htaccess`→ 选择「编辑」→ 在文件开头或末尾（如果有伪静态规则，放在伪静态规则的上方更稳妥）插入和方案一完全相同的``代码块 4. 保存并重载Apache：点击编辑页面右上角的「保存」→ 然后按方案一的步骤重载Apache Apache环境下的验证方法 和Nginx环境完全相同，输入对应域名加敏感文件名，返回404 Not Found即可 OpenLiteSpeed环境下的完整隐藏方案 OpenLiteSpeed使用的是Nginx的配置逻辑，但需要在特定的「上下文规则」或主配置中设置，这里推荐最简单的全局生效方法。 1. 打开OpenLiteSpeed主配置：点击左侧「软件商店」→ 找到OpenLiteSpeed→ 点击「设置」→ 点击「配置修改」 2. 在http块内插入隐藏规则：找到配置文件中最外层的`http {`块，在块内`include /www/server/panel/vhost/openlitespeed/.conf;`这行的上方或下方插入和Nginx方案一完全相同的代码块 3. 保存并重启OpenLiteSpeed：OpenLiteSpeed的重载可能不生效，必须点击「配置修改」页面右上角的「保存」→ 点击弹窗中的「重启服务」 4. 验证方法：和Nginx环境完全相同 额外的安全补充（可选但强烈建议） 1. 隐藏宝塔面板自带的测试文件 宝塔面板创建站点时，根目录会有`index.html`（默认测试页）、`404.html`（默认404页，一般没问题）、`favicon.ico`（默认宝塔图标），其中`index.html`如果是默认的宝塔测试页，建议删除或替换成自己的内容，否则会暴露你用的是宝塔面板。 2. 隐藏PHP版本信息 暴露PHP版本信息也会被针对性攻击，隐藏方法： - PHP配置修改全局生效：点击左侧「软件商店」→ 找到目标站点使用的PHP版本→ 点击「设置」→ 点击「配置修改」→ 找到`expose_php = On`→ 改成`expose_php = Off`→ 点击「保存」→ 点击「重载配置」 - 验证方法：在浏览器地址栏输入`你的域名/phpinfo.php`（先确保你没有删除或隐藏phpinfo.php），查看页面顶部是否还有PHP版本号，没有则成功 3. 删除站点根目录的.git/.svn等版本控制文件夹 如果你的站点是通过Git或SVN上传的，根目录可能会有`.git`或`.svn`文件夹，里面包含完整的代码提交历史、配置信息等，必须删除： - 操作路径：点击左侧「文件」→ 进入站点根目录→ 找到`.git`或`.svn`文件夹→ 右键点击→ 选择「删除」→ 勾选「永久删除」→ 点击「确定」