宝塔面板搭建网站完整教程：从安装到上线运行

很多人在买完服务器之后卡在第一步：Linux 命令行不会用，Nginx 配置文件不知道放哪，PHP 版本、数据库字符集、SSL 证书每一件都要查半天。宝塔面板就是为了解决这个门槛而生的——它把 Web 服务器、数据库、PHP、证书、计划任务这些操作包装成图形界面，点几下就能建出一个能访问的站点。

但它也不是没有代价。面板会接管 Nginx、PHP-FPM、MySQL 的配置文件，你在命令行改的东西可能被面板覆盖，反过来也是。这篇文章既讲怎么用宝塔从零上线一个站点，也讲哪些地方必须加固、哪些场景下应该谨慎使用，以及卸载和迁移时要提前想清楚的事。

宝塔面板适合谁，争议在哪里

先说清楚定位，避免选错工具。

适合的场景：个人站长、中小企业官网、需要快速交付多个站点的运维新手、不打算深入 Linux 但要长期维护几台机器的兼职管理员。这类需求的核心是要"快速得到一个能用且能管的站点"，面板的价值非常直接。

需要谨慎的场景：批量标准化部署（几十上百台机器要保持一致，用面板逐台点击反而低效，应该用 Ansible 之类的工具做配置管理）、严格的变更审计要求（面板修改不容易进版本库，谁在什么时候改了什么难以追溯）、资源极度受限的小内存机器（面板自身也占用内存和 CPU）、以及已经有一套成熟 Nginx 配置规范的团队。

关于争议，主要集中在三点：

第一是可控性。面板为了通用化会生成一套比较冗长的配置文件，include 层级深，包含大量默认规则。如果你熟悉 Nginx，手写配置通常更清晰、性能也更好，但需要你自己承担全部维护成本。用一个比喻：面板像自动挡，手写配置像手动挡，前者上手快但你不清楚它什么时候换了挡。

第二是攻击面。面板管理端口一旦暴露在公网且使用弱密码，被扫描到的概率非常高。这不是面板独有的问题，任何带 Web 管理界面的服务都一样，但因为面板用户量大、端口固定，是重点扫描对象。解决办法后面会讲，核心是限制来源 IP、改端口、加强密码、加二次验证。

第三是绑定厂商账号。安装后如果不登录官方账号，部分功能会受限。是否接受这一点取决于你的使用习惯，若是纯内网或注重自主可控的环境，需要提前评估。

结论是：用它提高起步效率，但不要把它当成不需要学习 Linux 的理由。至少要知道站点根目录在哪、日志在哪、服务怎么重启，否则出问题时依然束手无策。

安装前的准备

宝塔对系统环境有要求，最重要的一条是必须使用纯净的操作系统。已经手动安装过 Nginx、Apache、MySQL、PHP 的机器上强行安装面板，很容易产生端口冲突、配置互相覆盖、服务启动失败等问题。如果你已经在这台机器上折腾过，正确做法是先备份数据，重装系统镜像，再装面板。

系统要求方面：内存建议 512 MB 以上，实际上 1 GB 以上是较合理的起点，因为要同时跑 Web 服务、数据库和 PHP；磁盘需要足够的剩余空间，编译安装 Nginx 或 PHP 时需要几百兆到上 GiB 的临时空间；必须是全新安装的受支持发行版，推荐 Rocky Linux、AlmaLinux、CentOS Stream、Ubuntu LTS、Debian。

另一件必须提前做的事是检查端口占用。面板要用到若干端口，如果已经被其他程序占用会导致安装失败或服务异常：

sudo ss -lntup | grep -E ':(80|443|888|8888|3306|21)\s'

如果你自己已经装过 Nginx，这条命令会看到 80 端口被占用，此时应停止并禁用它，避免与面板安装的 Nginx 冲突：

sudo systemctl disable --now nginx

风险提示：以上操作会影响已有服务，执行前务必确认这台机器上的数据已经备份，或确认这台机器本来就是要重装的。disable --now 会停止服务并设置不开机自启，如对现有站点有影响需先通知相关人员。

安装前强烈建议给服务器打一个快照。绝大多数云平台都支持创建系统盘快照，成本很低，而在安装失败或后续误操作时，快照是你最快回到可用状态的手段。

还要确认云平台安全组的状态。面板需要放行的端口不止 80 和 443，后面的小节会列全。注意区别：安全组是云平台侧的网络访问控制，宝塔面板不会替你改它。

安装面板

宝塔官网会针对不同发行版提供对应的安装脚本。安装前请打开宝塔官网的安装页面，复制页面上给出的当前版本命令，不要直接复制第三方博客里的旧脚本。

Rocky、RHEL、CentOS 系的安装脚本形如：

# 以宝塔官网安装页给出的命令为准，下面仅为格式示意
url=https://download.bt.cn/install/install_6.0.sh
if [ -f /usr/bin/curl ]; then
  curl -sSO "$url"
else
  wget -O install_6.0.sh "$url"
fi
sudo bash install_6.0.sh

Debian、Ubuntu 系：

# 以宝塔官网安装页给出的命令为准，下面仅为格式示意
wget -O install.sh https://download.bt.cn/install/install-ubuntu_6.0.sh
sudo bash install.sh

几个要点：安装过程会提示是否确认安装，输入 y 继续；整个过程耗时从几分钟到几十分钟不等，取决于机器性能和网络；务必完整保存终端最后输出的外网面板地址、内网面板地址、用户名和密码，这是首次登录的唯一凭据。

安装完成后会输出管理命令入口，常用的是交互式的 bt：

sudo bt

进入菜单后可以按编号重启面板、修改面板密码、修改面板端口、关闭安全入口登录限制、卸载面板等。菜单项编号会随版本变化，以实际显示的菜单为准，不要死记教程里的数字。面板服务本身也可以这样管理：

sudo /etc/init.d/bt status
sudo /etc/init.d/bt restart
sudo systemctl restart bt 2>/dev/null || true

首次登录与加固，这一步别跳过

用安装结束时给出的地址打开面板，会看到安全入口提示和证书不受信任的浏览器警告，选择继续访问即可（面板默认使用自签证书）。登录后第一件事不是建站，而是加固。

修改默认面板端口。 面板默认监听一个固定端口（常见为 8888，部分版本安装时会随机化），这个端口是自动化扫描的重点目标。改动方法有两种：面板界面里"面板设置"直接修改，或者用 bt 命令菜单中的修改端口项。风险提示：改端口前必须在云安全组和主机防火墙中先放行新端口，并保留原来的 SSH 连接，确认能通过新端口登录后再关闭旧端口，否则可能把自己锁在外面。

修改用户名和密码。 初始随机密码通常强度不错，但很多人会顺手改成自己好记的弱密码，这是最危险的一步。面板密码必须使用长随机串，并保存在密码管理器里。用户名同理，不要用 admin 这类默认值。

设置安全入口。 面板支持在端口之后附加一个随机的路径后缀（形如 https://IP:端口/随机串），没有正确的路径后缀直接返回错误，能挡掉大量无针对性的扫描。

绑定访问来源限制。 如果你的办公网络出口 IP 相对固定，最有效的办法是只允许特定 IP 段访问面板端口。这在云安全组层面做一层，在主机防火墙层面再做一层：

# Rocky、RHEL、CentOS：仅允许指定来源访问面板端口，把  换成实际端口，IP 换成你的办公出口
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port protocol="tcp" port="" accept'
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

# Debian、Ubuntu
sudo ufw allow from 203.0.113.0/24 to any port  proto tcp
sudo ufw reload
sudo ufw status verbose

开启二次验证和告警。 面板支持绑定动态口令或相关安全校验，建议在"面板设置"里开启。同时可以配置登录告警邮件，有异常登录时能第一时间知道。

下面是宝塔常见端口的放行清单，注意只放行你真正用到的：

除了云安全组之外，主机防火墙也要放行 80 和 443：

# Rocky、RHEL、CentOS
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

# Debian、Ubuntu
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw reload

关于 FTP，多说一句：SFTP（基于 SSH 的文件传输）复用 22 端口，不需要额外放行一堆端口，也不存在明文传输问题。宝塔建的 FTP 账号在特殊场景下有用（比如客户方只能用 FTP 客户端上传），一般情况下直接用 SFTP 更安全。

安装 LNMP 运行环境

登录面板后首次进入会弹出"推荐安装套件"的选择。这里有两个关键决策。

选 Nginx 还是 Apache。 绝大多数情况下选 Nginx。它在高并发和静态资源场景下的资源占用明显更好，反向代理配置也更直观。只有当你的程序重度依赖 Apache 的 .htaccess 分布式配置文件（不少老旧 PHP 程序和部分虚拟主机的伪静态规则依赖它）时，才考虑 Apache，或者采用 Nginx 做前端反向代理加后端 Apache 的组合。

选极速安装还是编译安装。 面板通常提供两种：极速安装用系统包管理器安装预编译包，速度快，几分钟到十几分钟完成；编译安装从源码构建，耗时长（可能几十分钟到数小时，取决于机器配置），但可以自定义模块和版本，也更容易获得较新版本。建议新手先选极速安装把站点跑起来，等对环境和需求更清楚了，再考虑是否需要为某个特定版本或模块做编译安装。

版本选择上：MySQL 5.7 和 8.0 是常见选项，MariaDB 也是可选替代；PHP 版本要看程序兼容性，老旧程序可能在 PHP 8.x 上报错，新建站点建议用较新的稳定版并检查插件兼容性。数据库版本一旦选定，后期升级的代价不小，不要随意选最旧的也不要盲目追最新。

安装完成后在面板的"软件商店"里装必要扩展：

• opcache：PHP 字节码缓存，对性能提升明显，动态站点基本必装
• fileinfo、exif：很多 CMS 程序要求，缺失会导致上传或安装报错
• imagemagick：图片处理，资源消耗比 GD 高，按需安装
• redis：如果要做对象缓存或会话缓存
• phpMyAdmin：数据库网页管理，装了之后用完建议关闭或限制访问

面板里 PHP 的配置项包括 memory_limit、upload_max_filesize、post_max_size、max_execution_time。上传大文件时如果失败，先查 upload_max_filesize 和 post_max_size 两个值是否足够，还要注意 Nginx 侧还有 client_max_body_size 的限制，两边都要调。

创建站点、数据库与 SSL

面板里"网站"菜单点击添加站点，填写域名时注意同时把裸域名和 www 域名都填上（用换行分隔），否则其中一个会访问不到或者落到默认站点。

站点根目录面板默认形如 /www/wwwroot/example.com，建议保持这个规范。创建时面板会同时提供是否创建数据库、是否创建 FTP 的选项，按需勾选。数据库账号密码会显示一次，务必保存；FTP 若用不上可以不建。

伪静态规则是面板里很实用的一项：在站点设置的"伪静态"下拉里可以直接选 WordPress、ThinkPHP、Laravel、Discuz 等预设规则，省去手写 rewrite 的麻烦。但要注意预设规则不一定完全匹配你的程序版本，遇到二级页面 404 时要检查规则是否正确，必要时手动调整：

# 常见通用入口重写，可在站点配置的伪静态里参考
location / {
    try_files $uri $uri/ /index.php?$query_string;
}

SSL 申请同样在点几下之内完成：站点设置里的 SSL 菜单，选择 Let's Encrypt，勾选需要包含的域名，选择验证方式后申请。面板会自动配置 Nginx 并创建续期计划任务。

这里有两点必须人工复核：

第一，验证方式的选择。文件验证（HTTP-01）要求域名能正常解析到本机且 80 端口可访问；DNS 验证（DNS-01）需要面板能调用 DNS 服务商 API，适合泛域名证书或 80 端口不方便开放的场景。验证失败时先看 80 端口和安全组。

第二，开启强制 HTTPS 的时机。站点本身没问题后再开，开启后 HTTP 请求会 301 跳转到 HTTPS。如果站点里有硬编码的 HTTP 资源链接，会出现浏览器提示"混合内容"而不加载资源，这时候需要改程序里的资源 URL 或使用协议相对形式。

上线前的自检清单：

# 确认服务都起来了
sudo systemctl status nginx --no-pager
sudo systemctl status mysqld --no-pager || sudo systemctl status mariadb --no-pager
sudo ss -lntp | grep -E ':(80|443|9000)\s|php'

# 本机回环验证，排除外部网络因素干扰
curl -H 'Host: example.com' -o /dev/null -sS -w '%{http_code}\n' http://127.0.0.1/
curl -o /dev/null -sS -w '%{http_code}\n' https://example.com/

备份计划与日常排障

很多事故不是因为没做备份，而是因为"以为有备份但恢复不了"。宝塔的计划任务可以配置网站备份和数据库备份，但要确定三件事：

备份到哪。 只备份到本机磁盘是不够的。服务器被误删、被入侵或者磁盘损坏时，本机备份一起完蛋。务必配置远程存储，比如对象存储、另一台服务器的 FTP/SFTP 空间。面板支持添加这类存储。

备份频率。 取决于数据更新频率和更新代价。日更的博客每日一备足够；电商或有订单数据的站点可能需要每日多次增量，并且要有异地留存。保留份数也要设置，避免旧备份被新备份覆盖后发现问题是几天前发生的。

是否做过恢复演练。 至少每季度找一台测试机，用备份文件完整恢复一次并验证站点可用。这是唯一能证明备份有效的方法。数据库备份尤其要验证字符集和数据完整性。

日常排障要知道几个固定位置。面板日志、Nginx 错误日志、PHP-FPM 慢日志、MySQL 错误日志都在面板界面里能直接打开，也可以命令行查看：

tail -n 100 /www/wwwlogs/example.com.error.log
tail -n 100 /www/server/nginx/logs/error.log
tail -n 100 /www/server/php/*/var/log/php-fpm.log 2>/dev/null

典型故障的排查顺序：站点 502 先查 PHP-FPM 是否运行、.sock 路径是否匹配；502 伴随 CPU 高通常是 PHP 进程耗尽或程序死循环；403 查目录权限和 index 文件是否存在；404 查伪静态和根目录；数据库连不上查端口、账号 host 权限和是否启用了远程限制。

卸载与迁移的注意事项

这两个操作破坏性都比较大，必须提前说清楚。

卸载面板。 面板提供官方卸载脚本，通过 bt 菜单或官网获取。卸载前要明确：卸载面板不会自动卸载 Nginx、MySQL、PHP，但可能会移除面板自己的配置管理方式。网站目录 /www/wwwroot 和数据库目录在卸载时不会被自动清理，但这不代表你的数据安全——正确顺序是先完整备份数据库导出文件和网站目录到异地，验证备份可恢复，再执行卸载，最后重装系统或业务软件。

迁移到另一台服务器。 可行路径有两条：一是目标机同样安装宝塔，用面板自带的迁移功能或"一键迁移"插件传输站点和数据库，两边版本尽量一致能少很多麻烦；二是走通用方案，即打包网站目录、导出数据库、传输到新机器、导入、修改连接配置、验证后再切 DNS。后一篇关于网站迁移的文章会详细展开这套流程。

无论走哪条路，迁移前都要做三件事：把 DNS 的 TTL 提前降到 60 或 300；用 hosts 文件或 curl 的 --resolve 参数在新机器上提前验证站点可用；保留旧服务器至少运行三到七天不要立刻销毁，以便回滚。

# 迁移验证：不切 DNS 的情况下访问新服务器
curl --resolve example.com:443:新服务器IP -o /dev/null -sS -w '%{http_code}\n' https://example.com/

常见问题

面板打不开，第一步查什么？

分三层查：面板服务是否运行（用 bt 菜单重启或查看服务状态）、端口是否在云安全组和主机防火墙都放行、面板端口是否被改过而你还用旧地址访问。三者都对才能打开。

装完面板之后我在命令行改的 Nginx 配置被覆盖了怎么办？

这是面板的预期行为，它会在重启服务时重新生成配置。需要自定义规则时，应写到面板站点配置提供的"配置文件"或"伪静态"入口里，而不是直接改主配置文件。

面板一定要长期开放公网访问吗？

不建议。用完之后可以在 bt 菜单或面板设置里关闭面板，需要时再开启；或者用安全组限制只有办公出口 IP 能访问面板端口。这两种做法都能大幅降低被扫描的风险。

站点创建成功但访问是默认页或跳到别的站？

通常是域名没被正确匹配，server_name 里没有包含你访问的那个域名（比如只填了裸域名没填 www），或者 IP 直接访问时落到了面板设置的默认站点。检查站点配置里的域名列表即可。

小内存机器跑不动 LNMP 怎么办？

先加 swap 作为缓冲，再限制 MySQL 的缓冲池大小和 PHP-FPM 的子进程数量。更根本的办法是把数据库拆到独立的托管实例，或者升级内存。1 GB 以下内存跑完整 LNMP 加动态站点会比较吃力。

总结

• 宝塔适合快速起步和少量机器的图形化管理，但要把它当作工具而非替代品，仍需掌握站点目录、日志位置和服务重启这些基础操作。
• 安装必须在纯净系统上进行，装前打快照；装完立刻改面板端口、改强用户名密码、设置安全入口并限制来源 IP，面板端口不要对公网无限制开放。
• 套件安装优先选 Nginx 加极速安装，PHP 版本以程序兼容性为准，必装 opcache 等扩展，注意 Nginx 的 client_max_body_size 与 PHP 上传限制的双重约束。
• 备份必须落到异地远程存储，并且定期做实际恢复演练；只留在本机磁盘的备份在真正出事时大概率救不了你。
• 卸载面板前先异地备份并验证可恢复，迁移时提前降 DNS TTL、用 --resolve 或 hosts 预验证新机，旧服务器保留数天再销毁以便回滚。