无需插件或隐藏URL，如何保护wp-login.php？

一、先排查.htaccess 500错误的核心原因 #

你的几个方案触发500错误，大概率是以下问题导致：

• 路径错误：AuthUserFile必须填写服务器绝对路径，且文件确实存在、权限正确（建议设为644，父目录755），很多人会误填相对路径或不存在的路径。
• 模块未启用：Apache的mod_auth_basic模块未开启，可联系主机商确认，或有服务器SSH权限的话执行a2enmod auth_basic启用。
• 语法错误：比如FilesMatch的正则写法错误（需转义.为\.），或标签闭合不全。

二、正确的wp-login.php HTTP认证配置 #

基础版（适配大部分场景） #

1. 先生成.htpasswd文件：用htpasswd工具在网站根目录外创建（避免被公开访问），执行命令：

   htpasswd -c /home/USERNAME/.htpasswd your_login_name
   

   按提示输入密码即可。
2. 在网站根目录的.htaccess中添加以下代码：

   <Files "wp-login.php">
       AuthType Basic
       AuthName "Restricted WP Login Access"
       AuthUserFile /home/USERNAME/.htpasswd
       Require valid-user
   </Files>
   

   若需匹配带参数的wp-login.php请求（如wp-login.php?action=lostpassword），改用FilesMatch：

   <FilesMatch "^wp-login\.php$">
       AuthType Basic
       AuthName "Restricted WP Login Access"
       AuthUserFile /home/USERNAME/.htpasswd
       Require valid-user
   </FilesMatch>
   

进阶版（避免与wp-admin认证重复） #

因为你已给wp-admin目录加了认证，可添加条件判断，仅在未登录/非wp-admin跳转时要求认证：

<Files "wp-login.php">
    RewriteEngine On
    # 排除从wp-admin跳转的请求
    RewriteCond %{HTTP_REFERER} !^https?://yourdomain\.com/wp-admin/ [NC]
    # 排除已登录的用户
    RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in.*$ [NC]
    AuthType Basic
    AuthName "Restricted WP Login Access"
    AuthUserFile /home/USERNAME/.htpasswd
    Require valid-user
</Files>

替换yourdomain.com为你的域名即可。

三、无需.htaccess的替代方案 #

1. 登录页添加二次密码验证（通过WordPress钩子） #

直接在主题functions.php中添加代码，无需修改服务器配置：

// 验证额外密码
function custom_login_verification() {
    if ( isset( $_POST['wp-submit'] ) ) {
        $secret_code = 'your_unique_secret'; // 设置你的自定义验证密码
        if ( ! isset( $_POST['custom_verify_pass'] ) || $_POST['custom_verify_pass'] !== $secret_code ) {
            wp_die( '请输入正确的额外验证密码' );
        }
    }
}
add_action( 'login_form', 'custom_login_verification' );

// 添加额外密码输入框
function add_custom_login_field() {
    echo '<p class="login-custom-field">
            <label for="custom_verify_pass">额外验证密码<br>
            <input type="password" name="custom_verify_pass" id="custom_verify_pass" class="input" value="" size="20"></label>
          </p>';
}
add_action( 'login_form', 'add_custom_login_field' );

登录时除了WordPress账号密码，还需输入你设置的额外密码，安全性足够且无服务器错误风险。

2. 限制wp-login.php的请求方法 #

通过.htaccess限制仅POST请求（登录表单提交）无需认证，GET请求（直接访问登录页）需认证：

<Files "wp-login.php">
    <Limit GET>
        AuthType Basic
        AuthName "Restricted WP Login Access"
        AuthUserFile /home/USERNAME/.htpasswd
        Require valid-user
    </Limit>
    <Limit POST>
        Require all granted
    </Limit>
</Files>

这样用户直接访问登录页会触发认证，而提交登录表单可正常进行。

内容的提问来源于stack exchange，提问作者Vie