重新做系统后怎么没有wordpress 3个实战案例教你找回 很多老板重装完服务器，登录后台发现 WordPress 没了，心里直打鼓。 模板网站太丑不够用，想换 CMS 结果系统里连个影儿都没有。 别慌，这通常是路径丢失或权限问题，看这三个实战案例秒懂。 威胁场景：重装后站点“消失”的真相 案例一：Nginx 指向错误 深圳一家外贸公司，重装 CentOS 后，访问域名出现 404。 管理员检查发现，Nginx 配置的 root 指向了 /var/www/html。 而 WordPress 文件实际在 /opt/wordpress，导致资源无法读取。 这不是 WordPress 丢了，是“路”没铺对。 案例二：PHP-FPM 服务未启动 杭州一个电商团队，重装 Ubuntu 后，页面显示 502 Bad Gateway。 查看日志发现 php-fpm 服务状态为 inactive。 重装系统后，服务自启动项丢失，导致动态脚本无法解析。 WordPress 文件还在，但“引擎”没点火。 案例三：数据库连接失败 广州一家设计工作室，重装 MariaDB 后，后台无法登录。 错误提示 Access denied for user 'wp_user'。 原因是重装数据库后，旧账号密码未恢复，权限表被重置。 文件完好，但“钥匙”对不上“锁”。 漏洞原理：为什么重装会引发安全与功能缺失 1. 权限继承断裂 Linux 重装后，文件所有者（Owner）默认变更为 root。 Nginx 以 www-data 或 nginx 用户运行，无权读取 root 所有者的文件。 这是典型的权限隔离失效，导致静态资源 403，动态页面报错。 WordPress 核心文件若被 chmod 777，又面临被恶意写入的风险。 2. 环境依赖缺失 WordPress 依赖 PHP 扩展如 curl, gd, mbstring。 重装系统后，若未安装 php-common 或 php-mysqlnd，插件无法运行。 官方文档强调，生产环境需锁定 PHP 版本，避免升级导致兼容性问题。 阿里云官方文档在《Linux 系统安全基线》中指出，默认服务最小化是安全核心。 3. 配置文件未持久化 Nginx、PHP、MySQL 的配置文件若存放在 /etc，重装会丢失。 除非使用 Docker 或 LVM 快照，否则配置归零。 导致 SSL 证书路径、数据库连接字符串、缓存目录全部失效。 这不是漏洞，是运维流程的断层。 防护方案：配置代码对比与修复 Nginx 配置对比 # 错误配置：路径不明，未指定索引文件 server {listen 80;server_name www.example.com;root /var/www/html; # 错误：默认路径，非 WP 实际路径 }# 正确配置：明确路径，指定索引，安全头部 server {listen 80;server_name www.example.com;root /opt/wordpress; # 正确：实际部署路径index index.php index.html;location / {try_files $uri $uri/ /index.php?$args;}location ~ \.php$ {fastcgi_pass 127.0.0.1:9000;fastcgi_index index.php;fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;include fastcgi_params;}# 禁止访问隐藏文件，如 .git, .envlocation ~ /\. {deny all;} }PHP 权限与目录加固 # 错误做法：递归开放写权限 chmod -R 777 /opt/wordpress chown -R root:root /opt/wordpress# 正确做法：精准授权，最小权限原则 chown -R www-data:www-data /opt/wordpress chmod 755 /opt/wordpress chmod 644 /opt/wordpress/wp-config.php chmod 640 /opt/wordpress/.htaccess # 仅允许 uploads 和 plugins 目录可写 chmod 755 /opt/wordpress/wp-content/uploads chmod 755 /opt/wordpress/wp-content/plugins数据库连接配置 // wp-config.php 错误：硬编码明文密码，无加密 define('DB_USER', 'root'); define('DB_PASSWORD', '123456');// wp-config.php 正确：使用环境变量，禁用文件编辑 define('DB_USER', getenv('DB_USER')); define('DB_PASSWORD', getenv('DB_PASSWORD')); define('DB_HOST', getenv('DB_HOST')); define('DISALLOW_FILE_EDIT', true); define('FS_METHOD', 'direct');检测与修复：排查步骤与命令 1. 检查服务状态 systemctl status nginx systemctl status php-fpm systemctl status mariadb若状态为 inactive，执行 systemctl start [service]。 若 failed，查看 /var/log/nginx/error.log 或 journalctl -u [service]。 2. 验证文件完整性 cd /opt/wordpress ls -la # 检查核心文件是否存在 test -f wp-load.php echo OK || echo MISSING若文件缺失，从备份恢复，切勿直接覆盖生产数据库。 3. 测试数据库连接 mysql -u wp_user -p -h localhost -e SELECT 1;若报错，重置密码： ALTER USER 'wp_user'@'localhost' IDENTIFIED BY 'NewStrongPass!'; FLUSH PRIVILEGES;4. 日志分析 tail -f /var/log/nginx/access.log tail -f /var/log/nginx/error.log tail -f /var/log/php-fpm.log关注 403 Forbidden, 502 Bad Gateway, 404 Not Found 频率。 高频 403 多为权限问题，高频 502 多为 PHP 进程崩溃。 安全加固清单：防止再次“失踪” 1. 配置备份自动化 使用 rsync 或 tar 每日备份 /etc/nginx, /etc/php, /var/lib/mysql。 异地存储至对象存储，保留最近 7 份。 阿里云官方文档建议，关键配置应纳入版本控制，如 Git 仓库。 2. 文件完整性监控 部署 AIDE 或 Tripwire，监控 WordPress 核心文件哈希值。 若文件被篡改，立即告警并隔离服务器。 避免恶意脚本修改 wp-config.php 植入后门。 3. 最小权限原则 Nginx 运行用户与文件所有者一致。 数据库用户仅授予 SELECT, INSERT, UPDATE, DELETE 权限。 禁止 DROP, GRANT 等高危权限。 4. 安全头部配置 在 Nginx 中添加以下头部，防 XSS 与点击劫持： add_header X-Frame-Options SAMEORIGIN always; add_header X-Content-Type-Options nosniff always; add_header X-XSS-Protection 1; mode=block always;5. 定期扫描与更新 使用 WPScan 扫描插件漏洞。 订阅 WordPress 安全公告，48 小时内完成补丁更新。 禁用自动更新，手动审核后部署，避免兼容性问题。 实战经验总结 重装系统后 WordPress “消失”，九成是配置与权限问题。 不是文件丢了，是环境断了。 建立标准化部署脚本，将 Nginx、PHP、MySQL 配置代码化。 使用 Ansible 或 Terraform，实现一键部署与恢复。 安全不是事后补救，而是事前防御。 你踩过哪些建站的坑？评论区交流