给WordPress后台登录添加安全验证，可以有效防止暴力破解和恶意登录。以下是几种高效且易实施的安全加固方法，按推荐优先级排序：
1. 启用双因素认证(2FA)
推荐插件：
Wordfence Login Security(免费，支持TOTP/Google Authenticator)
Two Factor(轻量级，支持备用码)
步骤：
安装并启用插件。
进入 用户 → 你的个人资料，扫描二维码绑定手机验证器(如Google Authenticator)。
登录时需输入密码 + 6位动态验证码。
2. 限制登录尝试次数
推荐插件：
Limit Login Attempts Reloaded(免费，自动封锁IP)
配置：
设置最大重试次数(如3次)、封锁时间(如30分钟)。
启用邮件通知，接收攻击警报。
3. 添加验证码(CAPTCHA)
推荐插件：
Google Captcha (reCAPTCHA) by BestWebSoft
步骤：
在 Google reCAPTCHA 申请站点密钥。
插件中填入密钥，勾选 “登录表单” 启用验证。
4. 修改登录URL(隐藏后台入口)
推荐插件：
WPS Hide Login(轻量级，无额外功能)
步骤：
将默认登录地址 yoursite.com/wp-admin 改为 yoursite.com/secretlogin(自定义)。
直接访问 wp-admin 会返回404错误。
5. 服务器级防护(可选进阶)
IP白名单：通过服务器防火墙(如Cloudflare、宝塔面板)仅允许特定IP访问 wp-admin。
HTTP认证：在服务器(如Apache/Nginx)添加密码保护，登录需先输入服务器级用户名密码。
Apache示例(在.htaccess中添加)：
<Files "wp-login.php">
AuthName "Restricted Area"
AuthType Basic
AuthUserFile /path/to/.htpasswd
require valid-user
</Files>6. 其他强化建议
禁用XML-RPC：在主题的 functions.php 中添加 add_filter(‘xmlrpc_enabled’, ‘__return_false’);(防止暴力破解)。
定期审计用户：删除不用的管理员账户，确保无弱密码。
优先级组合方案
低成本高安全：
1(2FA) + 2(限制登录) + 4(隐藏登录URL) → 可阻挡99%的自动化攻击。
企业级防护：
1 + 2 + 5(IP白名单) + 服务器级HTTP认证。
所有插件均可在WordPress后台 插件 → 安装插件 中搜索安装。配置完成后，务必测试登录流程，避免误锁自己!