不能直接用宝塔默认端口和登录页，因其默认8888端口无认证暴露公网，易遭暴力破解、漏洞利用；必须更换非标端口并前置Nginx BasicAuth双重防护，且需同步更新反代配置、放行防火墙、关闭面板SSL重定向、限制IP访问、清理日志及设置auth文件权限。

为什么不能直接用宝塔默认端口和登录页 宝塔面板安装后默认监听 8888 端口，且首页无任何认证即可访问（仅首次需输入初始化密码）。这等于把服务器管理入口直接暴露在公网——只要 IP 可达，攻击者就能暴力扫描 8888 端口、尝试弱口令、利用已知漏洞（如旧版面板的 /config.php 泄露或 /static/js/login.js 硬编码问题）。哪怕你改了面板密码，没关端口或没加前置认证，风险依然极高。

必须立刻做两件事：换掉默认端口 + 在 Nginx/Apache 前加一层 BasicAuth。二者缺一不可。

修改宝塔面板端口的正确操作顺序 直接改面板后台「面板设置」里的端口，只改了面板服务监听端口，但 Nginx 反向代理配置不会自动同步，极易导致 502 错误。必须手动补全三处：

• 在宝塔后台「面板设置」→「面板端口」改为非标端口（如 8899），点击保存并重启面板
• 检查并更新 Nginx 配置：进入「网站」→「反向代理」→ 编辑对应代理规则，将目标地址从 http://127.0.0.1:8888 改为 http://127.0.0.1:8899
• 确认防火墙放行新端口：bt 7 进入安全组，添加入站规则，协议 TCP，端口填 8899；若用云服务器，还需在厂商控制台（阿里云/腾讯云等）安全组中同步放行

注意：改完别急着关页面，用新端口访问一次（如 https://your-ip:8899），确认能进登录页再继续下一步。否则后续加 BasicAuth 会连不上。

用 Nginx 反向代理层加 BasicAuth 认证 宝塔不原生支持面板登录前的 BasicAuth，必须靠反向代理拦截。关键点在于：BasicAuth 必须加在「反向代理配置」里，而不是网站根目录的 .htaccess 或 Nginx 主配置 —— 后两者对面板静态资源（如 /static/）无效，且可能被绕过。

操作步骤：

• 在宝塔「网站」中找到代理宝塔面板的那个站点（通常是你的域名或 IP 对应的反向代理）
• 点击「设置」→「配置文件」，在 location / { 块内插入两行：

auth_basic "Restricted Access";
auth_basic_user_file /www/server/panel/panel_auth;

• 生成认证文件：htpasswd -c -b /www/server/panel/panel_auth admin your_strong_password（admin 是用户名，可自定义；your_strong_password 替换为强密码）
• 重启 Nginx：bt 1 或在面板中点击「重载配置」

验证：访问面板地址时，浏览器会先弹出 BasicAuth 输入框；输错会返回 401；输对才进入宝塔登录页。此时相当于双重校验（BasicAuth + 面板密码）。

容易被忽略的三个硬伤 很多人做完上面两步就以为安全了，其实还有三个地方常被跳过：

• bt 16 关闭「面板SSL」开关——如果开启，宝塔会强制重定向 HTTP 到 HTTPS，而 BasicAuth 的 auth_basic_user_file 路径若没同步到 HTTPS 配置块，会导致 HTTPS 下 403 或认证失效
• 未禁用「IP 访问面板」功能：在「面板设置」→「IP 访问限制」中，勾选「仅允许指定 IP 访问」并填入你的办公 IP；否则 BasicAuth 形同虚设
• 忘记清理历史登录日志：rm -f /www/server/panel/logs/login.log，避免旧密码或 IP 暴露在日志里（尤其曾用过弱口令时）

BasicAuth 文件路径必须是绝对路径，且 Nginx 进程用户（通常是 nobody）要有读取权限：chown root:nobody /www/server/panel/panel_auth && chmod 640 /www/server/panel/panel_auth。漏掉权限，Nginx 启动会报 open() "/www/server/panel/panel_auth" failed (13: Permission denied)。