Typecho 以轻量、简洁著称，很多个人站长都喜欢用它搭建博客，本站就是一个例子。但轻量也意味着功能少、默认防护弱，如果只是装完就用，后台密码简单、文件权限随意、插件乱装，很容易成为攻击者的目标。这篇文章从安装、文件、后台、数据库、服务器几个层面，整理一份 Typecho 安全加固的完整清单，都是个人站长能直接照做的操作。
一、从源头做起：版本与安装
安全的第一步是保证 Typecho 版本是当前最新的稳定版。Typecho 的官方版本更新不频繁，但每次发布都会修复已知漏洞，使用老版本等于把这些漏洞免费送给攻击者。升级前一定要先备份网站文件和数据库，升级时注意 PHP 版本兼容性——Typecho 1.2 在 PHP 5.6 到 PHP 8.x 上都能跑，但老版本（1.0 及更早）在 PHP 7.4 以上会有各种兼容问题，如果你还在用很老的 Typecho，建议直接迁移到 1.2。安装完成后，删除安装目录下的 install 目录或者 install.php 文件，防止别人通过重装流程覆盖你的配置。这是很多新手最容易忽略的一步。
二、保护配置文件 config.inc.php
Typecho 的数据库账号密码、站点密钥都存在根目录的 config.inc.php 里，这个文件一旦泄露，攻击者就能直接连你的数据库。防护手段主要有三层。第一层是文件权限，把 config.inc.php 的权限设为 640 或者 600，属主是运行 PHP 的用户（一般是 www-data 或 nginx），这样其他系统用户读不到内容：
chown www-data:www-data config.inc.php
chmod 640 config.inc.php第二层是在 Nginx 配置里显式禁止访问敏感文件：
location ~* \.(php|sql|bak|conf|log|ini)$ {
deny all;
return 403;
}第三层是不要把 config.inc.php 提交到 Git 仓库，也不要随手把配置文件内容截图发到群里。数据库密码建议使用独立的强密码，不要和服务器密码、后台密码共用。
三、后台安全：账号、密码与登录保护
Typecho 默认的管理员用户名是 admin，这是攻击者首先尝试的用户名。建议注册一个独特的用户名，然后把 admin 这个账号删掉或者改掉。密码方面，后台密码必须用强密码，至少 12 位，包含大小写字母、数字和特殊符号，并且定期更换。Typecho 本身没有登录失败次数限制，暴力破解全靠服务器层防护：可以在 Nginx 层面做登录接口限流，限制 /admin/login.php 的访问频率，也可以用 fail2ban 监控日志，多次失败的 IP 自动封禁。另外，后台地址虽然不能像 WordPress 那样随意改路径，但可以通过 Nginx 限制后台目录只允许特定 IP 访问：
location ^~ /admin/ {
allow 你的IP;
deny all;
}如果你有固定 IP（比如公司或家里），这个办法非常有效，直接把后台对全世界关闭。
四、文件权限与目录权限
文件权限设置不当是网站被入侵的常见原因。原则是：运行权限最小化，能读就不写，能写就限定目录。具体来说，网站根目录下的 PHP 文件、主题文件、插件文件，权限设置为 644（属主可读写，其他只读），目录设置为 755；只有 usr/uploads 目录需要可写权限，因为用户上传的头像、文章图片都存在这里，设置为 755 目录加 644 文件即可。千万不要图省事把整个网站目录 chmod 777，也不要让 PHP 进程对主题、插件目录有写权限——一旦网站程序被利用执行了恶意代码，写权限越大破坏越严重。可以用下面的命令批量修正权限：
find /网站根目录 -type f -exec chmod 644 {} \;
find /网站根目录 -type d -exec chmod 755 {} \;
chmod -R 755 /网站根目录/usr/uploads注意上传目录里的 PHP 文件风险更高，如果上传目录里出现不认识的 .php 文件，几乎可以断定网站已经被入侵了。
五、插件与主题：警惕第三方来源
Typecho 的插件生态不像 WordPress 那么丰富，很多插件是个人开发者维护的，更新不及时是常态。使用插件和主题要遵守几条原则：只从官方应用商店或者知名开发者的仓库下载，不用来路不明的破解版；只安装真正用得到的插件，用不到的及时禁用并删除；长期不更新的插件要评估风险，如果发现漏洞通报就立即停用或寻找替代品。另外，下载插件后先看一眼文件结构，正规插件一般只有一个 Plugin.php 和少量辅助文件，如果发现里面混着加密混淆的代码，或者有不相关的文件，直接放弃使用。主题同理，尤其是那些号称"免费正版"的付费主题，往往是挂马的重灾区。
六、PHP 层面的配合
Typecho 的安全离不开 PHP 环境的配合。第一，关闭危险函数。在 php.ini 的 disable_functions 里加上 exec、system、passthru、shell_exec、proc_open 等执行系统命令的函数，这样即使攻击者拿到了 webshell 也无法执行系统命令，破坏力大打折扣。第二，开启 open_basedir，把 PHP 的文件访问范围限制在网站目录内：
open_basedir = /网站根目录:/tmp这样 PHP 脚本就读取不了 /etc/passwd、其他用户的文件等敏感内容。第三，关闭 PHP 的错误显示（display_errors = Off），把错误日志写到文件里，防止报错信息泄露服务器路径和代码细节。这些配置改完后记得重启 PHP-FPM 生效。
七、服务器层的防护
除了 Typecho 本身，服务器层面也要做基本加固。Nginx 方面：隐藏版本号，在 http 块里加 server_tokens off；关闭目录列表，避免访问目录时列出文件清单；限制上传文件大小，防止有人上传超大文件拖垮磁盘。MySQL 方面：给 Typecho 建一个专用数据库账号，只授予该数据库的权限，不要用 root 连接网站；数据库监听 127.0.0.1，不对外网开放。系统方面：SSH 禁止 root 密码登录，改用密钥登录；开启系统防火墙，只放行 80、443 和 SSH 端口；定期用 apt upgrade 更新系统软件包，及时修补系统漏洞。这些都是老生常谈，但每一件都实打实地减少攻击面。
八、备份与应急恢复
安全不只是防御，还要考虑被攻破之后怎么办。Typecho 的备份很简单：网站文件用 tar 打包，数据库用 mysqldump 导出，两个文件一起存到异地。数据库备份命令参考：
mysqldump -u 用户 -p Typecho数据库名 > backup_$(date +%F).sql备份文件不要放在网站目录里，否则别人直接下载备份就能拿到数据库，应该放在网站目录之外，比如 /backup 目录，并用 cron 定时任务每天自动备份。恢复的时候，文件解压覆盖、数据库导入即可。建议每季度做一次恢复演练，真到出事那天才不会手忙脚乱。另外，如果发现网站被挂马，正确的顺序是：先断网或停止服务，再备份现场，然后根据文件修改时间、访问日志定位入侵方式，最后重装系统或从干净备份恢复，并修补漏洞后再上线。
九、日常监控习惯
最后养成几个低成本高回报的监控习惯。第一，定期查看网站目录里最近被修改的文件，挂马文件通常都有诡异的文件名和较新的修改时间：
find /网站根目录 -type f -mtime -7 | grep -v -E 'usr/uploads|/cache/'第二，留意 Nginx 访问日志里的异常请求，比如大量请求 .php 后缀但实际不存在的文件、请求 eval 之类关键字、来自同一 IP 的密集扫描。第三，关注 Typecho 官方博客和邮件列表，有安全更新第一时间升级。第四，给网站配置监控告警，网站打不开、服务器负载异常时能收到通知。安全不是一次性工程，而是持续的习惯，坚持做下去，网站被入侵的概率会大幅下降。
十、总结
Typecho 安全加固说到底就是几件事：保持版本最新、守住配置文件、管好账号密码、收紧文件权限、慎用第三方插件、配合 PHP 和服务器层防护、做好备份和监控。每一项都不复杂，单独拿出来几分钟就能做完，但合在一起就是一道完整的防线。个人站长的时间和精力有限，与其等出事了再花一整天应急，不如现在就花一小时把这些基础工作做完，把风险消灭在萌芽状态。