必须立即修改数据库名和管理员账号，因宝塔默认生成的wordpress、wp_123456及admin等值是漏洞扫描器首要爆破目标，易导致网站上线即被入侵；需改用如myblog_8xq2和WpAdm7n9等强随机组合，并同步关闭wp-content全局写入权限、强制HTTPS、修复中文上传与邮件发送功能。
宝塔面板装好后，直接用「一键部署」建 WordPress 是最快路径，但默认配置有几处必须手动干预，否则网站上线即高危或不可用。
为什么一键部署后立刻要改数据库名和管理员账号
宝塔自动生成的数据库名常为 wordpress 或 wp_123456，管理员用户名默认是 admin —— 这两类值在漏洞扫描器里属于第一波爆破目标。MySQL 用户名含短横线（如 my-site）还会导致创建失败，必须改用下划线或纯字母数字组合。
- 数据库名建议格式：
myblog_8xq2（域名前缀 + 随机字符串） - 管理员账号必须 8 位以上，含大小写字母 + 数字，如
WpAdm7n9 - 密码不能复用其他平台，且需避开常见弱口令词典（如 password123、12345678）
部署完成后 wp-content 权限必须重置
宝塔一键部署默认给 wp-content 目录开了全局写入权限，Nginx 用户（www）可直接写入任意 PHP 文件，插件上传功能就成了后门入口。这不是小题大做，而是真实攻击链起点。
- 进宝塔终端，
cd到网站根目录，执行：chown -R www:www wp-content - 再执行：
find wp-content -type d -exec chmod 755 {} \; - 再执行：
find wp-content -type f -exec chmod 644 {} \; - 回宝塔「网站」→ 你的站点 →「权限」页，确认「允许写入」未被勾选
HTTPS 不是装完 SSL 就自动生效的
只在「SSL」页点「申请证书」并成功，不代表访问会跳转 HTTPS。用户仍可通过 HTTP 访问，后台登录页、静态资源、甚至 wp-admin 都暴露在明文传输中。
- 必须勾选「强制 HTTPS」开关（位置：网站设置 → SSL → 强制 HTTPS）
- 进 WordPress 后台 →「设置」→「常规」，把「WordPress 地址（URL）」和「站点地址（URL）」两项都手动改成
https://开头 - 已有 HTTP 内容（比如文章里的图片链接）要用
Better Search Replace插件批量替换，先 dry run 验证
中文上传失败和邮件发不出不是 WordPress 问题
这两个现象在一键部署后高频出现，但根源不在 WordPress 本身，而在 PHP 和系统层配置缺失。
- 中文文件名上传失败：进「PHP 设置」→「禁用函数」列表删掉
scandir（旧版宝塔误加），确认file_uploads = On且upload_max_filesize = 64M - 注册/密码重置邮件发不出：Linux 默认无 SMTP 服务，
wp_mail()直连会被大多数邮箱拒收；必须装WP Mail SMTP插件，配腾讯企业邮箱或 Gmail（用 App Password，别用账户密码）
真正耗时的从来不是点击「一键部署」那几秒，而是部署后那 5 分钟内是否做了这四件事：改库名账号、锁 wp-content 权限、强跳 HTTPS、补上传和邮件能力。漏掉任一环，等于把钥匙挂在门把手上。
