无WAF权限下适配WordPress管理URL兼容ModSecurity规则

因为你无权修改前端WAF的ModSecurity规则，只能通过后端Apache配置和WordPress设置，将默认的wp-admin/wp-login.php路径映射到自定义路径，避开WAF的拦截规则。以下是具体操作步骤：

1. 修改WordPress核心配置，定义自定义后台路径 #

编辑WordPress根目录下的wp-config.php文件，在/* That's all, stop editing! Happy publishing. */之前添加以下代码：

// 自定义后台目录名称，替换成你想要的字符串
define('WP_ADMIN_DIR', 'my-secure-admin');
// 调整后台Cookie路径，避免登录态异常
define('ADMIN_COOKIE_PATH', SITECOOKIEPATH . WP_ADMIN_DIR);
// 禁用后台文件编辑功能，提升安全性
define('DISALLOW_FILE_EDIT', true);

2. 配置Apache Rewrite规则，实现路径映射 #

在WordPress根目录的.htaccess文件（无则新建）或Apache虚拟主机配置文件中，添加以下Rewrite规则：

# 开启Rewrite引擎
RewriteEngine On

# 放行自定义后台路径下的静态资源（css/js/images等）
RewriteRule ^%{ENV:WP_ADMIN_DIR}/(wp-includes|wp-admin/(.+)\.(css|js|png|jpg|gif))$ /$1 [L]

# 将自定义后台路径的请求转发到真实的wp-admin
RewriteRule ^%{ENV:WP_ADMIN_DIR}/?$ /wp-admin/ [L]
RewriteRule ^%{ENV:WP_ADMIN_DIR}/(.+)$ /wp-admin/$1 [L]

# 映射自定义登录路径到wp-login.php
RewriteRule ^my-secure-login/?$ /wp-login.php [L]
RewriteRule ^my-secure-login/(.+)$ /wp-login.php?$1 [L]

# 禁止直接访问原始的wp-admin和wp-login.php（可选，防止绕过自定义路径）
RewriteRule ^wp-admin/?$ - [R=404,L]
RewriteRule ^wp-login.php/?$ - [R=404,L]

注意：将my-secure-admin和my-secure-login替换为你自己的自定义路径，确保与wp-config.php中的WP_ADMIN_DIR一致。

3. 验证配置有效性 #

• 访问自定义后台路径（如https://your-site.com/my-secure-admin），确认能正常进入WordPress后台
• 访问原始的wp-admin或wp-login.php，应返回404（若添加了禁止规则）
• 检查后台静态资源（如菜单样式、编辑器JS）是否正常加载，若有问题，调整Rewrite规则中的静态资源匹配逻辑

额外注意事项 #

• 备份wp-config.php和.htaccess文件，避免配置错误导致站点无法访问
• 自定义路径不要使用admin、dashboard这类常见字符串，降低被自动化扫描命中的概率
• 若使用缓存插件，需清空缓存后再进行测试

内容的提问来源于stack exchange，提问作者Christian Metge