wordpress建站怎么开始？从零走一遍

很多新手一提wordpress建站就发怵，总觉得要会写代码、懂服务器才行。其实真做起来就是一条固定的流水线：先把环境搭好，再建站点和数据库，把程序文件放到该放的位置，填好配置文件，浏览器里跑一遍安装向导，最后做几项必要的收尾加固。整套流程顺下来，一个下午足够跑完，难点不在步骤多，而在几个容易踩空的小细节上。这篇就带着你从零走一遍，每一步都告诉你点哪里、填什么、哪里最容易翻车。

开工之前先把环境和域名这两件事定下来

环境这块先做个取舍。虚拟主机贵在省事，控制面板点几下就能开站，缺点是性能、扩展和 PHP 版本基本由服务商说了算；有自己的云服务器就更自由，装个宝塔面板或者 lnmp 一键包都行。预算紧、只想先跑通流程的，虚拟主机完全够用；打算长期做内容、以后要上缓存和 CDN 的，直接上云服务器更省事。面板怎么选也有讲究：宝塔这类面板图形界面友好，建站点、开数据库、申请证书都是点按钮；lnmp 一键包更贴近原生环境，配置文件位置固定，愿意动手的人用着更顺手。两个都行，别在选面板上纠结一星期。

环境装完别急着往前冲，先花五分钟确认三件事。第一，PHP 版本别太旧，WordPress 新版本对 PHP 版本有明确要求，装之前去官网看当前版本的最低要求，以官方页面说明为准，别拿好几年前的老版本硬上，装到一半白屏的概率很高。第二，常用扩展要打开，数据库扩展、图像处理扩展、字符编码相关的扩展缺一个都可能让程序跑不起来。第三，数据库版本同样别太老，MySQL 5.7 以上或者同级别的版本比较稳妥。这几项在面板的软件商店里都能看到，版本号对不上就点一下切换，比后面出问题再回头查省事得多。顺手把面板的登录地址和密码换成复杂一点的，别用默认的。

新建站点和数据库，把域名、目录、账号记在纸上

在面板里添加站点，域名填你的正式域名，根目录用默认的就好，后面所有文件都放这个目录下。数据库单独新建一个，不建议图省事用 root 账号跑站点，库名、用户名、密码三个都起个带随机字符的名字，字符集选支持中文表情符号的那一种。这两步做完，把四样东西记到记事本里：站点根目录的完整路径、数据库名、数据库用户名、数据库密码。看着土，但这四样东西是后面填配置文件时的全部依赖，凭记忆填错一个字符，后面就要多排查半小时。另外提醒一句，域名解析最好提前做好，解析没生效之前有些面板会提示绑定失败。

解压程序包到站点根目录，别多套一层文件夹

去官网下载简体中文版压缩包，通过面板的文件管理或者命令行的方式上传到站点根目录，然后解压。这里有个新手几乎必踩的坑：解压出来是一个名为 wordpress 的文件夹，不少人直接把整个文件夹丢在站点根目录里，结果访问域名看到的是目录列表，或者干脆提示找不到页面。正确做法是把 wordpress 文件夹里的内容全部移动到站点根目录，让 wp-admin、wp-includes、index.php 这些文件和文件夹直接躺在根目录下。面板里鼠标全选剪切粘贴就能搞定，命令行环境用一条移动命令也能做完，做完用文件列表确认第一眼看到的就是 index.php。

填好 wp-config.php，顺手把认证密钥换成新的

程序目录里有个 wp-config-sample.php，复制一份改名为 wp-config.php，或者按官方模板新建一个。里面要填的就是刚才记下的四样东西：数据库名、数据库用户名、数据库密码、数据库主机地址；主机地址大多数情况下填本机地址就行，数据库不在同一台机器上时按服务商给的说明填内网地址。接着处理认证密钥这块，去官网提供的密钥生成接口刷新一次，把页面上给出的那段常量整段复制回来，覆盖掉配置文件里原有的八个默认值。别偷懒用自带的默认值，那串字符在网络上到处都是，等于给别人的登录凭证留了后门。顺手可以把数据表前缀从默认的换成自定义的，改完记得新装的站点才生效。

浏览器跑安装向导，管理员账号这一步别将就

配置文件存好之后，浏览器访问你的域名，程序会自动检测到还没安装，跳到安装向导。第一屏填站点标题、管理员用户名、密码和邮箱，几个判断标准直接给你：用户名别用 admin 这类默认名，那是暴力破解字典里排第一的；密码别用生日和手机号，用一句自己记得住的长短语再加几个数字和符号；邮箱一定填真实可用的，以后找回密码、接收通知全靠它。提交之后几十秒就装完了。装完用刚设的账号登录后台，先去用户资料页把密码再改一次，确认无误再把示例文章和用不上的默认插件清理掉，界面顿时清爽。

装完立刻改固定链接，配套的伪静态规则要一起配

后台设置里的固定链接，默认那种带问号和数字参数的链接又长又难看，搜索引擎也不喜欢。改成只含文章名的形式，也就是把结构设成斜杠包围的文章名占位符，保存之后文章地址会变得干净很多。但改完不要就此收工，绝大多数站点这时候除了首页，其他页面点进去全变成 404，不是程序坏了，是服务器那层的伪静态规则还没配。去面板的网站设置里找到伪静态或者重写规则的入口，选择 WordPress 对应的规则集保存即可；用命令行环境的话，就按服务器软件的规则模板手动写进配置文件，写完先做语法检查再平滑重载，别直接重启。配完拿一篇文章链接实测，能打开才算过。

上 SSL 之后必须查混合内容，别只看小锁头

现在没有 HTTPS 的站点很难让人放心，面板里通常有一键申请免费证书的入口，也可以自己传证书文件。证书装上、站点地址改成 HTTPS 之后，有一件事必须做：打开首页和一篇内页，按浏览器开发者工具里的控制台看一眼有没有混合内容告警。所谓混合内容，就是页面本身走的 HTTPS，里面引用的图片、样式、脚本还挂在 HTTP 上，浏览器会拦掉一部分，页面可能缺图错版，地址栏也可能显示不安全。处理办法不复杂，主要是把数据库里和配置里残留的旧地址统一替换成 HTTPS，插件和主题里写死的旧链接也要换掉。最后确认一遍 HTTP 跳 HTTPS 的转向已经生效。

定时备份和登录限制，这两件事装完当天就做

备份这事，吃过亏的人都有执念。原则是文件和数据库分开备，面板的计划任务里可以建两个任务，一个打包站点目录，一个导出数据库，频率按更新节奏来，天天发文章的每天一备，周更的每周两备；保留份数别只留一份，最近七到十四份滚动保存，而且至少有一份要放到别的机器或者对象存储上，在同一台服务器上备份等于没备份。登录限制则是把被爆破的概率压下去：装安全插件限制登录失败次数、开启验证码，有条件再加两步验证；如果环境允许，给后台登录地址加一层访问限制，只放行自己的常用出口地址，安全性会明显好一截。

最后收尾：目录权限和配置文件保护这两项别省

收尾阶段先看权限，正常的组合是目录可读可执行、文件只读，也就是目录用 755、文件用 644，配置文件可以再收紧一档。属主要指向运行程序的用户，别为了图省事整站设成 777，那等于把门敞开。接着是 wp-config.php 的保护，这文件里有数据库账号密码和认证密钥，最基础的一条是在服务器规则里禁止直接访问这个文件名，命令行环境写条拒绝规则就行，面板环境可以在网站设置里加。程序目录里默认带的那个示例配置文件，装完之后确认它没被误改成正式配置，或者干脆删掉。做完这些，再跑一遍首页、内页、后台和手机端，全部正常才算真正收工。

从头捋一遍：先定环境和域名，装好面板或者一键包并确认 PHP 和数据库版本，接着建站点、建独立数据库并把四项信息记好；程序包解压到站点根目录，别多套一层文件夹；填配置文件的时候顺手换掉默认的认证密钥；浏览器里跑安装向导，管理员用户名和密码都认真设；装完立刻改固定链接并配好对应的伪静态规则，上 SSL 并检查混合内容；再补上定时备份和登录限制；最后收一遍目录权限和配置文件的访问保护。这十来个动作做完，一个能长期用的 WordPress 站点就立起来了，剩下的就是安心写内容。