后台登录页是整站暴露得最彻底的一个入口，地址固定、表单固定，密码错几次也不会有任何提示。自动化脚本正是靠这一点工作的：拿一份常见用户名与密码的字典，对着 wp-login.php 反复提交，一个晚上试上万次。WordPress 默认不限登录尝试次数，主机层面也常常只有一层限速，攻击者换 IP 就能绕开。等到站内多出一批陌生管理员，或者 CPU 被登录请求打满，才发现问题已经发生。Limit Login Attempts Security 处理的就是这一段：按 IP 与用户名统计失败次数，超过阈值就锁定，顺带补上两步验证、登录日志与黑白名单。它在插件目录有 100 万以上活跃安装，当前版本 3.3.10。本文按免费版能挡住什么、几次算超限、误封之后怎么解开，以及它和整套安全套件的分工来讲。
Limit Login Attempts Security是什么？
它是一款专注登录入口的 WordPress 安全插件，由 WPChef 维护。功能围绕一件事展开：让反复猜密码的成本变高。同一 IP 或同一用户名连续失败达到设定次数后，插件会锁定该来源一段时间，期间不再校验密码；同时把失败记录、锁定事件写进日志，并按设置发邮件通知管理员。
它不试图做整套安全套件，只做登录防护这一层，因此对服务器资源的占用很小，装在其他安全插件旁边也不容易打架。当前版本 3.3.10，要求 WordPress 5.0 以上，提供 39 种语言。免费版已含次数限制、两步验证、防火墙规则与黑白名单，云端情报与国家级封禁在付费版。
核心功能
它把一次登录尝试拆成来源、身份、结果三个维度来判断：来源是哪个 IP，身份是哪个用户名，结果是成功还是失败。三个维度组合起来，才不至于把正常用户和脚本一起挡在门外。
- 失败次数限制——按 IP 与用户名分别计数，超过阈值自动锁定，锁定时间与重试次数都可调。
- 两步验证——在密码之外再加一层动态验证码，密码泄露后仍有一道门槛。
- 登录日志——记录失败尝试、被拒请求与锁定事件，能看到攻击集中在哪些用户名上。
- 黑白名单——IP 与用户名都可设白名单与黑名单，支持 IPv6 段，也支持反向代理下自定义真实 IP 来源。
- 覆盖面扩展——除 wp-login.php 外，也保护 XML-RPC、WooCommerce 登录页、自定义登录表单与注册页。
- 邮件通知——账户被锁或出现大批失败尝试时发信提醒管理员，不必天天翻日志。
- 云端联动（Premium）——共享恶意 IP 情报，多站之间同步锁定，并按国家或地区限制登录来源。
使用场景
判断要不要装，看站点是否对外开放注册与评论：只要登录页能被公网访问，被扫就是时间问题。下面几类站点的收益最直接。
| 人群/角色 | 场景描述 | 推荐指数 |
|---|---|---|
| 个人博客作者 | 后台长期被扫，锁定几个高频 IP 后日志立刻安静 | ★★★★★ |
| WooCommerce 店主 | 客户账户页被撞库，需要限制尝试并保护注册入口 | ★★★★★ |
| 会员站与社区运营 | 大量用户账号，需要两步验证与失败日志追溯 | ★★★★☆ |
| 多站点网络管理员 | 多个子站共用登录入口，要统一策略 | ★★★★☆ |
| 已有完整安全套件的站点 | 主机防火墙与 WAF 已覆盖登录层，重复配置意义不大 | ★★☆☆☆ |
操作指南
安装到生效只有几步，真正需要判断的是阈值：设得太松挡不住脚本，设得太紧会把输错密码的同事一起锁在外面。建议先按默认值跑一周，看过日志再调。
- 在后台的 安装插件 页搜索 Limit Login Attempts Security 安装并启用，或从 Limit Login Attempts Security 下载压缩包上传安装。
- 进入 设置 → Limit Login Attempts，先看 Dashboard 上的失败尝试统计，确认站点确实在被扫。
- 在 Settings 里设重试次数与锁定时间，常见组合是 3 到 5 次、锁定 20 分钟，逐步加长。
- 打开 2FA 标签页，为自己和编辑账号绑定验证器，把备用码抄到离线位置。
- 在 Allowlist 里加入公司出口 IP 与自己的常用 IP，避免把自己锁在门外。
- 开启 Email Notification，填管理员邮箱，锁定事件会直接发到信箱。
- 被误封时清浏览器缓存后重试，或从主机文件管理器改名插件目录临时停用。（从旧版 Limit Login Attempts 迁移时直接替换插件即可，原设置会保留。）
支持平台
它是 WordPress 后台插件，配置在网页端完成，没有独立客户端。要求 WordPress 5.0 以上，已测试到 7.1.4，界面提供 39 种语言，含繁体中文。与 Wordfence、Sucuri、Ultimate Member、MemberPress、WPS Hide Login 等插件可共存，也识别 Cloudflare 与反向代理转发的真实 IP；边缘防护把请求挡在源站之外时，插件日志里可能看不到这些请求。
产品定价
免费版在插件目录直接下载，次数限制、锁定、两步验证、日志、黑白名单都在免费范围内，单站使用不花钱。Premium 提供 14 天免费试用，之后按年订阅，增加云端恶意 IP 情报、跨站同步锁定、国家级封禁、注册页保护、登录成功记录、地理定位与工单支持，具体金额以官方定价页为准。
常见问题
Q：登录记录和 IP 会上传到外部吗？
免费版的计数与日志存在你自己的数据库里，不外传。付费版的云端防护会把 IP 与失败事件发到厂商的云端做情报比对，用于跨站同步锁定；介意的站点可以只用免费版本地规则。
Q：要付费吗？
日常防护不需要。免费版能限制失败次数、锁定来源、开启两步验证并保留日志，个人站与中小电商够用。需要云端情报、国家封禁、跨站同步时才考虑订阅。
Q：会不会和缓存、CDN、其他安全插件冲突？
它只处理登录请求，不参与页面缓存，与缓存插件不冲突。接 Cloudflare 或反向代理时要在设置里指定真实 IP 来源，否则会把同一个边缘节点当成同一个攻击者，误封整片用户。
开发者小结
Limit Login Attempts Security 的取舍很清楚：不追求覆盖全部攻击面，只在登录这一层把成本抬高，资源占用小、配置项少、误操作也容易回退。适合后台长期被扫的个人站、有客户账户的电商站，以及需要两步验证但不想要整套安全套件的团队。边界同样明确：它挡不住已经拿到有效密码的攻击者，也挡不住针对插件漏洞的利用；云端情报与国家封禁要付费；反向代理环境下若不校正真实 IP，锁定策略会误伤。把它和强密码、定期备份、及时更新放在一起用，才是完整的一套；单靠一个登录插件，不足以撑起站点安全。
相关导航
