如何用Nginx透明保护管理后台URL，无需改动上游服务？

以下是几个无需改动WordPress代码、仅通过Nginx配置即可实现的后台防护方案，适用于所有带管理后台的Web服务：

1. IP白名单限制（硬防护首选） #

直接锁定仅指定IP能访问后台入口，彻底阻断外部扫描：

location ~ ^/(wp-login\.php|wp-admin) {
    # 填入你的固定IP，多个IP用空格分隔
    allow 192.168.1.100;
    allow 203.0.113.45;
    # 拒绝所有其他IP
    deny all;

    # 放行后台所需静态资源，避免样式/脚本加载失败
    location ~* \.(css|js|png|jpg|jpeg|gif|ico)$ {
        allow all;
        try_files $uri $uri/ =404;
    }
}

如果是动态IP，可配合DDNS解析，将域名作为白名单规则：allow my-ddns-domain.com;，Nginx会自动解析对应IP。

2. 自定义隐藏路径转发 #

将真实的/wp-login.php隐藏，仅通过自定义的秘密路径访问：

# 拦截所有直接访问/wp-login.php的请求，返回404迷惑扫描器
location = /wp-login.php {
    return 404;
}

# 自定义秘密登录路径（比如/my-secret-admin）
location = /my-secret-admin {
    rewrite ^ /wp-login.php last;
    # 替换为你的WordPress后端配置（PHP-FPM或反向代理）
    fastcgi_pass unix:/run/php/php8.2-fpm.sock;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}

# 放行/wp-admin静态资源
location ~ ^/wp-admin/.*\.(css|js|png|jpg|jpeg|gif|ico)$ {
    allow all;
    try_files $uri $uri/ =404;
}

只有知道秘密路径的用户才能进入登录页，完美避开针对默认路径的批量扫描。

3. HTTP Basic Auth 双层验证 #

在Nginx层添加额外的账号密码验证，与WordPress密码形成双层防护：
首先用htpasswd生成密码文件：

# 安装工具包（Debian/Ubuntu）
apt install apache2-utils -y
# 生成密码文件，用户名为admin-user，路径可自定义
htpasswd -c /etc/nginx/.htpasswd admin-user

然后配置Nginx：

location ~ ^/(wp-login\.php|wp-admin) {
    auth_basic "Restricted Admin Area";
    auth_basic_user_file /etc/nginx/.htpasswd;

    # 放行静态资源
    location ~* \.(css|js|png|jpg|jpeg|gif|ico)$ {
        allow all;
        try_files $uri $uri/ =404;
    }
}

即使WordPress密码泄露，攻击者仍需通过Nginx层的验证才能访问后台。

4. 组合方案（最高防护等级） #

将IP白名单、自定义路径、Basic Auth结合，实现多重防护：

location = /wp-login.php {
    return 404;
}

location = /my-super-secret-login {
    # 仅允许指定IP
    allow 192.168.1.100;
    deny all;
    # 加Basic Auth验证
    auth_basic "Super Restricted Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
    # 转发到真实登录页
    rewrite ^ /wp-login.php last;
    fastcgi_pass unix:/run/php/php8.2-fpm.sock;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}

location ~ ^/wp-admin/.*\.(css|js|png|jpg|jpeg|gif|ico)$ {
    allow all;
    try_files $uri $uri/ =404;
}

注意事项 #

• 配置完成后执行nginx -t检查语法，无误后systemctl reload nginx生效
• 确保/wp-admin的静态资源放行，否则后台样式会异常
• 自定义路径方案无需修改WordPress后台设置，Nginx会自动转发请求

内容的提问来源于stack exchange，提问作者link89