能用，但默认配置离“稳定安全”差得远；仅解压文件、建库、写基础配置，后续安全加固、缓存优化、HTTPS、权限控制等均需手动补全，否则易被扫出后门。
宝塔面板软件商店的WordPress一键部署到底靠不靠谱
直接说结论：能用，但默认配置离“稳定安全”差得远。它只帮你把 WordPress 文件解压、建库、写基础 wp-config.php，后续所有安全加固、缓存优化、HTTPS、权限控制都得手动补。很多用户装完第二天就被扫出后门，问题就出在这“一键”的幻觉上。
安装时必须改掉的三个默认项
进宝塔「软件商店」→ 找到 WordPress → 点击「一键部署」后，别急着点确定。弹出的表单里这三项必须手动覆盖：
-
数据库名：别用默认生成的
wordpress或wp_123456，改成带随机字符串的，比如myblog_8xq2 -
管理员账号：绝对不要填
admin或administrator，建议用 8 位以上含大小写字母+数字的组合，如WpAdm7n9 -
网站目录权限：勾选「取消写入权限」（即不勾选「允许写入」），否则整个
wp-content目录对 Nginx 用户可写，插件上传漏洞直接白给
装完立刻要做的四件事（顺序不能错）
部署完成页面跳转后，先别登录后台。打开终端或宝塔终端，cd 到网站根目录执行：
chown -R www:www wp-content
find wp-content -type d -exec chmod 755 {} \;
find wp-content -type f -exec chmod 644 {} \;
然后进宝塔「网站」→ 你刚建的站点 → 「SSL」→ 强制 HTTPS；再进「防火墙」→ 开启「防 CC 攻击」并设置「单 IP 并发连接数 ≤ 30」；最后进 WordPress 后台 →「插件」→ 卸载所有预装插件（尤其是 hello-dolly 和任何中文汉化包），它们常年不更新，是常见攻击入口。
为什么不能依赖宝塔自带的「WordPress 管理器」插件
这个插件界面好看，但核心功能有硬伤：wp-cli 版本锁定在 2.4，不支持 PHP 8.2+ 的新特性；自动备份只存本地，且默认不清除七天前的旧备份，磁盘爆满后网站直接 500；更关键的是，它调用的 wp core update 不校验签名，遇到被篡改的镜像源会静默升级到恶意版本。真要自动化，不如直接写个定时任务跑 wp core update --minor --force + wp plugin update --all，并配合 rsync 推送到异地。
最常被忽略的一点：宝塔部署时不会禁用 xmlrpc.php，而这是暴力爆破和 DDoS 反射的常用跳板。要么在宝塔「网站」→「伪静态」里加一行 location ~ /xmlrpc.php { deny all; }，要么装个轻量插件 Disable XML-RPC —— 别信那些“增强版 XML-RPC 安全”的，关掉才是唯一解。
