# 宝塔企业版「网站防篡改」插件怎么用？锁死核心目录防止木马与篡改

> 在宝塔企业版中启用「网站防篡改」后，将 `.php`、`.js`、`.html` 等代码与模板目录设为锁定保护，同时将 `uploads`、`runtime`、`cache` 等动态写入目录加入排除名单，即可在不影响正常上传与缓存的前提下彻底阻断木马写入。

- 分类: 功能插件
- 发布: 2026-10-12
- 更新: 2026-10-24
- 原文: https://pay.baota.in/article/bt-tamper-proof-security-configuration

## 为什么有了防火墙还需要「宝塔企业版网站防篡改」？

网站防火墙（WAF）负责在外部拦截恶意请求，但如果网站使用了开源 CMS（如老旧版本的织梦 DedeCMS、帝国 CMS、WordPress 插件漏洞或未授权后台泄露），攻击者可能通过合法权限或 0day 漏洞尝试修改 `index.php` 或上传一句话木马。**宝塔企业版专属的「企业级防篡改」插件**直接从系统底层拦截任何对受保护目录的新增、修改、重命名与删除操作，让木马“根本写不进硬盘”。

## 黄金配置法则：锁死代码目录，放行缓存与上传目录

很多站长开启防篡改后发现“网站传不了图片”或“页面报缓存写入错误”，原因就是把整个网站根目录一刀切全部锁死。正确的配置方式如下：

1. **必须受保护的核心后缀与目录**：
   - 受保护文件类型：`.php`、`.html`、`.htm`、`.js`、`.py`、`.sh`、`.htaccess`、`nginx.conf`。
   - 核心代码目录：如 `/app`、`/src`、`/includes`、`/templates`、`/vendor`。
2. **必须加入「排除目录（白名单）」的动态目录**：
   - 用户上传目录：如 `/public/uploads`、`/wp-content/uploads`（并配合 Nginx 禁止该目录执行 PHP）。
   - 缓存与运行日志目录：如 `/runtime`、`/storage`、`/cache`、`/logs`、`/data`。

## 网站需要正常升级或修改代码时怎么操作？

1. 登录宝塔企业版面板（Linux v13.1.0 / Windows v8.5.2 / aaPanel PRO v8.0.7），打开「企业级防篡改」插件。
2. 将对应站点的防护开关**临时关闭**。
3. 完成代码发布、插件安装或 CMS 在线升级。
4. 立即**重新开启**该站点的防篡改开关，并通过插件的「拦截日志」查看是否有异常写入尝试。

## 防篡改日志核查与上传目录联动加固

在日常运维中，建议每周查看一次防篡改插件的「拦截日志」统计。若发现某个上传子目录频繁出现尝试创建 `.php` 文件的拦截记录，说明站点程序某处上传接口存在未修补漏洞，应立即结合[PHP 安全与木马查杀指南](/article/bt-php-security-webshell-defense)定位接口并修补。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/

## 常见问题

### 开了宝塔防篡改后，连 root 用户在面板文件管理器里都改不了文件吗？

是的，这正是底层防篡改的核心安全机制。当你需要自己修改代码或更新程序时，先在防篡改插件里暂时关闭该站点的保护开关，改完后再重新开启即可。

### 上传目录放行了防篡改，会不会被黑客传 PHP 木马？

在放行 uploads 上传目录的同时，请在宝塔「网站设置 → 安全 / 伪静态」中勾选或配置禁止上传目录执行 PHP 脚本，这样即使上传了文件也无法作为代码执行。