安全加固 5
用 nginx 在源站封掉 WordPress 的高危入口（含 XML-RPC）
默认装的 WordPress，开着一堆没人用的入口
刚装好的 WordPress，公网上能直接访问到这些东西：
/readme.html
...
别全信 X-Forwarded-For：让 WAF 真正看到真实客户端 IP
一个被忽略的默认值
很多 nginx 配置（含一些面板的默认模板）里写着：
set_real_ip_from 0.0.0.0/0;
rea
...
fail2ban 封禁静默失效：nftables 下要换掉 ipset 动作
症状：fail2ban 显示封了，攻击一点没停
装了 fail2ban，配置看着也正常，fail2ban-client status sshd
...
CDN 与源站重复下发 HSTS：两个响应头，浏览器只认第一个
现象：同一个响应头出现两次
站点刚接上 CDN 之后，我用 curl -I 检查响应头，发现 Strict-Transport-Security
...
云服务器上线前的安全清单：端口、SSH、防火墙别留默认
为什么写这个
默认配置的云服务器，暴露在公网的第一天就会开始被扫。这不是"可能"，是必然——任何开在公网 IP 上的机器，几小时内就会有扫描器敲
...
