很多人第一次接触服务器，都是从装宝塔面板开始的。界面清爽，点点鼠标就能建站、传文件、装环境，确实比纯命令行友好太多。但友好不等于安全，装完面板只是开始，真正的“坑”往往藏在那些没人提醒的默认配置里。下面这8个设置，建议第一次使用时逐一确认。
一、改掉面板默认端口
安装完成后，面板会分配一个端口，但很多人不知道这个默认端口是公开的扫描目标。攻击者批量扫一遍，就能找到大量正在运行的面板。正确做法是在面板设置里把端口改掉，换成一个不常用的数字，改完记得在服务器防火墙或云服务商安全组里放行新端口。
二、修改安全入口路径
面板登录地址后面那串字符就是安全入口。有些人图省事直接保留默认的，或者设成容易猜的单词。建议改成一串自己记得住、但别人猜不到的随机字符，长度不低于12位。这一步配合改端口，能挡掉大部分自动化扫描。
三、设置一个像样的密码
别用admin加生日或者手机号。密码建议包含大小写字母、数字和符号，长度至少16位。虽然麻烦，但这是最后一道防线。如果面板支持二次验证，也一并打开，用手机验证器绑一下，多一层保障。
四、关闭数据库的公网访问
这是最容易被忽略、后果也最严重的一项。很多人为了远程管理数据库，直接把3306端口对全网开放，等于把仓库钥匙挂在大门口。正确做法是数据库只允许本机或内网访问。确实需要远程连接时，用隧道或者只放行特定IP，配合强密码使用。
五、管好网站目录的权限
建站时如果图省事把目录权限设成“777”，相当于给所有人发了写权限。攻击者一旦通过上传漏洞写入一个后门文件，就能直接执行、篡改网站内容。建议目录用755、文件用644，上传目录单独限制执行权限。宝塔建站时默认的权限通常是合理的，不要手动去“放宽”。
六、禁用PHP危险函数
PHP里有一些函数可以直接执行系统命令，比如exec、system、shell_exec等。如果网站代码里存在漏洞，这些函数就会被利用来提权。在PHP设置里把这类函数禁用掉，同时开启跨站防护限制，不同站点之间互相隔离，一个站被攻破也不会牵连其他站。
七、把SSH端口也改掉
服务器本身的SSH端口默认是22，这也是被扫描的重点对象。虽然宝塔面板管着网站，但SSH才是操作系统的入口。建议把SSH端口也改成不常用的，并且关闭密码登录，改用密钥方式。宝塔面板的“安全”菜单里就有SSH管理入口，操作起来不复杂。
八、设置自动备份并验证
新手最容易犯的错是“配好了就不管了”。万一哪天文件被误删或者系统出问题，没有备份就只能重来。宝塔的计划任务可以设置网站和数据库的自动备份，选择每天凌晨执行，保留最近几份。有条件的话把备份传到远程存储，不要只放在本地——服务器本身出问题时，本地备份也保不住。
这8项做完，服务器的基本安全框架才算搭起来。宝塔面板本身是个工具，它提供了方便的入口，但不会替你决定这些配置该不该做。花半小时认真设置一遍，比出事后花几天恢复要划算得多。
运维要高效，装宝塔
