账户与资料安全：哪些能公开，哪些只给自己看

分开保存账户，保管密钥和买家信息，限制管理入口与操作权限。

先分清公开内容与控制权限

文章、公开商品说明和网站地址，按用途可以给访客看。服务器私钥、管理员密码、API 密钥、真实数据库配置，则可能让别人控制网站，不能混进公开页面。买家邮箱、订单和付款核对信息，属于交付过程中需要保护的资料。你能在后台看到，不代表可以把整个表格放到社区分享。

四套账户分别记录

商家账户用于购买续费；服务器账户用于管理远程电脑；宝塔账户用于操作环境；WordPress 账户用于管理博客。数据库用户则供程序连接资料服务。给它们分别标用途与入口。不同系统重复使用同一密码，会扩大某一处泄漏的影响。把密码放到合适的私密工具中，避免保存在公开项目文档。

权限就是允许做哪些事

管理员可以配置站点，普通访客只应看公开内容或提交必要信息。后台订单、买家邮箱与管理按钮需要服务器检查身份和权限。不要只用“网页没有显示这个按钮”作为保护。别人可能直接请求处理入口，让 AI 在实际处理操作的位置核对权限。整理 skill 时也说明允许的范围，不把拥有 root 当作无限业务授权。

访问入口按用途开放

网站访客需要正常访问网页；管理面板和 SSH 应按已授权来源、身份与必要用途访问。防火墙（限制网络进出的规则）和白名单（允许特定来源的名单）帮助管理入口。连接失败时先定位限制来源，不要关闭所有保护来试。数据库通常不需要直接向所有互联网访客开放；具体部署让 AI 核对实际服务连接。

安装和更新要有可靠来源

从可信来源获取 WordPress、主题和插件，核对适用版本。及时安排必要的安全更新，并在更新前保留可恢复副本。安全维护与备份各有作用，做其中一件不能替代另一件。相关原则可看 WordPress 官方安全说明。本课优先让你识别重要资料与操作范围，不要求现在背一整套安全术语。

发截图、发商品前检查什么

• 画面、地址栏、报错中是否显示密码、密钥或私人参数。
• 文件包里是否有真实 wp-config.php、私钥、账户导出或订单数据。
• 下载链接是否误分享整个私人文件夹。
• 示例是否使用练习数据，而非未获许可的真实买家资料。

请 AI 帮忙检查包内容和可见页面，但不要因此把真实秘密上传到更多不必要的地方。

怀疑泄漏以后怎样做

先确定哪类凭据、哪套系统受到影响，让 AI 说明替换或撤销办法，并查相关操作记录；保存有用证据，检查网站和备份。不要把“删掉帖子”当成原密钥重新安全了。

你可以给 AI 的固定要求

本次操作不要在回复、公开页面、源码和商品包中写出秘密。先确认目标和权限，买家资料只供授权处理人员查看。给出的截图与日志摘要要脱敏。重要修改说明影响和回退办法。

能认清资料用途与权限，是小白开始使用 AI 操作服务器的基本素养。

官方资料：需要进一步核对时看这里

WordPress 官方安全加固说明。本文的生活类比、练习和 AI 示例为课程原创说明。软件菜单与版本会变化，请让 AI 对照你实际看到的界面核对。