香港VPS搭建WordPress教程：从零到上线

一、WordPress 站起步要几核几G：先算内存账再下单

先给结论：WordPress 生产环境的合理起点是 2 核 2G 内存加 40GB 以上 NVMe 硬盘，1 核 1G 属于"能装上但随时会被打死"的调试配置。这条香港VPS建站教程的选型起点就按 2 核 2G 预算往下推，先把内存账算清楚，比看参数表上的数字更可靠。

延伸对照：数脉科技 的公开机型与线路说明，可结合本节的判断标准自行核对。

按 Debian 12 全新安装后实测的常驻内存口径拆分：系统与基础服务占 180 到 260MB，MariaDB 默认参数下常驻 150 到 350MB，PHP-FPM 每个 worker 在后台操作页面时峰值 40 到 70MB，宝塔面板自身再加 150 到 320MB。把这些数字加总，手工 LNMP 路线的裸站大约落在 600MB 上下，装了宝塔面板并且跑满五个插件的站点很容易摸到 1100MB。1G 机器的真实余量不是零，而是负数，任何一次插件批量更新都会触发 OOM Killer。

CPU 侧的判断口径按 720 小时每月折算。WordPress 前台页面的 PHP 执行通常在 50 毫秒以内，单核的 1000 分 s CPU 完全够用；真正的消耗来自后台，一次"更新全部插件"会连续拉取十几个压缩包并解压建表，瞬间打满单核，1 核机器在这几十秒内响应会明显变慢。单站点日均一万 PV 以内，2 核属于宽裕配置。

带宽和流量的账要分开算。文本型页面的 HTML 平均按 200KB 算，每 PV 消耗约 0.2MB；带八张图的文章按每张 250KB 算，每 PV 约 2.2MB。日均 1000 PV 的内容站，一个月大约 66GB 流量，月流量配额给到 1000GB 就有很大冗余。端口带宽 1Mbps 意味着理论峰值 125KB 每秒，一张 250KB 的图要两秒才能传完，5Mbps 才是一张图一秒内。图片多、追求首屏观感的站，直接上 5Mbps 以上端口更划算。

存储按媒体库增长倒推。WordPress 核心加主题加插件的初始占用不到 1GB，但上传目录随文章数量线性增长，1000 篇带图的原创内容大约吃掉 30 到 50GB 硬盘。起步给 40GB、半年后扩到 80GB 是正常节奏，硬盘扩容一般比内存扩容便宜。

二、宝塔面板路线：一条命令装完，再把安全口子堵上

先说结论：宝塔面板适合没有运维经验、站点数量不多的人，它把 Nginx、PHP、MySQL、FTP、证书和备份全部收进一个网页后台，代价是常驻内存多出 150 到 320MB，并且默认会装一堆你用不到的组件。

延伸对照：野草云 的公开机型与线路说明，可结合本节的判断标准自行核对。

安装脚本的官方地址是 download.bt.cn 下的 install.sh，命令行形式是先 curl 把脚本拉下来再交给 bash 执行，执行过程中会让你选择是否安装面板、是否使用宝塔源。脚本参数与安装选项以官方页面当日的说明为准，不要照抄来路不明的二次封装版。

curl -sSO https://download.bt.cn/install.sh

bash install.sh

安装完成后记下两样东西：面板地址和面板账号密码。登录后第一件事不是建站，而是收紧入口。面板默认监听 8888 端口，而这个端口在扫描器字典里排得很靠前，必须改成一个五位以上的高位端口；同时在安全设置里开启面板 SSL、设置安全入口，也就是给面板地址加一段随机路径，直接访问域名根目录应该返回 404 而不是登录框。改完之后用浏览器重新访问新地址确认能进。

第二步装软件。宝塔应用商店里选 LNMP 一键安装套件，版本别选最新：Nginx 选 1.24 或 1.26 的稳定分支，PHP 选 8.1 或 8.2，数据库选 MySQL 5.7 或者 MariaDB 10.6。选择理由很实际，社区里能被搜到的教程、插件兼容说明和踩坑记录，绝大多数都集中在这几个版本上，出问题能搜到解法。全新安装大约占用 700MB 到 1100MB 内存，装完在面板首页的服务器状态里看一眼内存条占用，超过 1G 就说明该换机器或者换手工路线了。

第三步建站。网站菜单里添加站点，填好域名、根目录、PHP 版本和数据库。根目录保持默认的 wwwroot 子目录即可，不要用根目录本身，否则后面 FTP 和备份会把整个站点目录结构搅乱。数据库创建时记下库名、用户名和密码，装 WordPress 时要原样填进去，密码里不要用特殊符号以免 shell 转义出问题。

第四步是上传 WordPress。可以先在本地用 wget 把官方安装包下载好再通过面板文件管理器上传，也可以直接用面板的终端功能执行 wget 与 tar 解压。解压后要改目录属主，让运行 PHP 的 www-data 用户对站点目录有写权限，否则安装向导会卡在"无法创建 wp-config.php"。属主改错是新手最常见的死循环，反复点"重试"没用，因为权限问题不会因为重试消失。

宝塔面板路线还有两件事值得提前知道。一是面板自带计划任务，可以直接挂 shell 脚本做数据库定时备份，不必自己配 cron 定时器；二是面板的"网站设置"里有伪静态下拉框，选 nginx 后粘贴对应的 rewrite 规则，这是第四步伪静态问题的关键入口。

三、手工 LNMP 路线：内存最省，可控性最高

结论先说：手工装 Nginx 加 PHP-FPM 加 MariaDB，常驻内存比面板路线低 150 到 320MB，代价是每一步都要自己负责，但排障时你清楚每个配置文件在哪。

延伸对照：isvoro 的公开机型与线路说明，可结合本节的判断标准自行核对。

安装全部依赖，一条命令走完：

apt update && apt full-upgrade -y

apt install nginx php8.2-fpm php8.2-mysql php8.2-curl php8.2-gd php8.2-mbstring php8.2-xml php8.2-zip mariadb-server -y

systemctl enable nginx php8.2-fpm mariadb && systemctl start nginx php8.2-fpm mariadb

PHP 必须装 FPM 版本而不是 CGI 版本，两者进程模型完全不同，CGI 每个请求拉起一次解释器，慢到不能用于生产。扩展装全是"页面一片空白且没有报错"的常见原因，WordPress 的主题和插件会静默检查扩展是否存在，缺一个就白屏，所以安装时把 curl、gd、mbstring、xml、zip 一次装齐。

三个服务的判读方式各不相同。Nginx 用 nginx -t 做语法检查，只有输出 syntax is ok 且 test is successful 才允许 reload；服务状态用 systemctl status nginx 看 active 状态和最近几条日志。PHP-FPM 的判读看进程数和内存：ps -o pid,rss,cmd -C php-fpm8.2 能看到每个 worker 的常驻内存，如果单个 worker 超过 150MB 说明有脚本在吃内存。MariaDB 用 mysqladmin status 和 show engine innodb status 看连接数与慢查询数量。

虚拟主机配置放在 /etc/sites-available 里。核心结构是 server 段里 listen 80、server_name 填你的域名、root 指向站点目录、index 列出 index.php index.html，location / 用 try_files 把不存在的路径转给 index.php，PHP 段落里 fastcgi_pass 指向 PHP-FPM 的 unix socket 而不是 127.0.0.1 加 9000 端口，unix socket 少走一层网络栈，延迟更低。

站点目录用 mkdir -p /var/www/你的域名创建，目录权限 755、文件 644，属主改成 www-data。目录不可写是安装向导失败的最高频原因，比数据库密码错误更常见。

内存调优看 PHP-FPM 的 pool 配置。默认 pm 是 ondemand，空闲内存回收快但请求来了要重新起进程，高并发下反而抖动；改成 pm = static、pm.max_children = 5、pm.max_requests = 500 之后，2G 内存的机器上每个 worker 按 50MB 算刚好占 250MB，留足余量。改完 systemctl restart php8.2-fpm 生效，然后连续访问站点十几秒，再用 ps -o pid,rss,cmd -C php-fpm8.2 观察进程数是否稳定在设定值附近，数字对得上才算调优生效。

最后补交换分区防 OOM：

fallocate -l 2G /swapfile && chmod 600 /swapfile && mkswap /swapfile && swapon /swapfile

把 /swapfile none swap sw 0 0 写进 /etc/fstab 保证重启后自动挂载。交换分区不是用来提速的，它是防止突发内存占用把服务直接打死。

四、伪静态与固定链接：改了 /%postname%/ 就 404 的原因

结论：WordPress 改成 /%postname%/ 固定链接后全站 404，九成不是 WordPress 的问题，而是 Nginx 没有把不存在的路径交给 index.php 处理。

延伸对照：joysol 的公开机型与线路说明，可结合本节的判断标准自行核对。

先解释机制。WordPress 是 PHP 应用，所有页面都由 index.php 动态生成，磁盘上根本没有 /my-first-post/ 这个文件。服务器默认逻辑是"文件不存在就返回 404"，而伪静态的作用就是补一条规则：先按真实路径找，找不到就转交 index.php，由 WordPress 自己判断这个路径对应哪篇文章。所以在 Apache 上靠 .htaccess 里的 mod_rewrite 规则完成，在 Nginx 上必须由你自己写进 server 段。

Nginx 侧的标准写法是 location / 里的 try_files 改成下面这样：

try_files $uri $uri/ /index.php?$args;

同时 PHP 段落里要加 fastcgi_split_path_info 规则，并在 server 段加一条 try_files $fastcgi_script_name =404;，先验证脚本文件真实存在再交给 PHP，这一条是防路径注入的关键，两条一起用才不会出问题。

宝塔面板的用户不需要手写这段，在网站的"伪静态"下拉框里选 nginx，把同样内容粘进输入框保存，保存后面板会重写站点的 Nginx 配置文件。这里有一个坑：部分面板版本的伪静态框只在"纯静态"页面生效，选错模式规则不会写进配置。所以粘贴保存之后一定要回读配置验证：

grep -n "try_files" /www/wwwroot/你的域名/nginx.conf

能 grep 到 /index.php?$args 才是真的写进去了。

固定链接的选择直接影响 SEO 和 URL 稳定性。文章名结构是主流选择，地址可读、包含关键词、层级浅；分类和标签结构在站点早期看起来整齐，但一旦调整分类就会产生大量死链，是常见的收录掉坑原因；数字结构最省事却完全放弃了语义。

判读伪静态是否真的生效，用一条命令就够：

curl -I http://你的域名/任意不存在的路径

正确结果是返回 404 而不是 200，也不是 500。这条测试能同时暴露 rewrite 规则丢失和 PHP 段配置错误两种情况：如果返回 200 且页面内容是首页，说明规则缺失导致所有路径都被兜底到首页了，属于伪静态没生效的典型症状。

五、HTTPS 证书：签发、强制跳转与自动续期

结论：Let's Encrypt 免费证书足够覆盖全部建站场景，但要同时满足三个条件才叫做完——签发的是完整证书链、80 端口验证能通、续期后 Nginx 自动加载新证书。

延伸对照：tmhhost 的公开机型与线路说明，可结合本节的判断标准自行核对。

签发用 Certbot。走 webroot 模式只签发证书、不自动改配置，行为最可控：

certbot certonly --webroot -w /var/www/你的域名 -d 你的域名 -d www.你的域名

签发成功后证书落在 /etc/letsencrypt/live/你的域名/ 目录，fullchain.pem 是含中间证书的完整链，privkey.pem 是私钥。Nginx 里必须引用 fullchain.pem，不能只填 cert.pem。少一张中间证书时，Chrome 桌面版常常能容错通过，Safari 和安卓浏览器会直接弹出不安全提示，而搜索引擎的 HTTPS 质量评估也会受影响。

Nginx 侧增加一个 443 的 server 段，配置 ssl_certificate 指向 fullchain.pem、ssl_certificate_key 指向 privkey.pem、ssl_protocols 写 TLSv1.2 TLSv1.3，再加一条 return 301 把 80 端口请求全部重定向到 HTTPS。配置写完先 nginx -t，通过再 reload。

续期靠系统定时器，systemctl list-timers | grep certbot 能看到 certbot.timer 默认一天两次检查。但续期成功后 Nginx 不会自动加载新证书，必须加 deploy hook：把 systemctl reload nginx 写进 /etc/letsencrypt/renewal-hooks/deploy/ 目录下的脚本里。设置完成后做一次演练：

certbot renew --dry-run --cert-name 你的域名

没有报错就说明整条链路是通的。这条命令建议每次换商家、换 IP、换域名之后都再跑一遍。

判读证书链是否完整，用 openssl 直接问服务端：

openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | grep -c "BEGIN CERTIFICATE"

输出至少是 2，说明服务端发出了叶证书加中间证书。输出只有 1，就是链不完整。

要覆盖多个子域名时用 dns-01 验证，需要在 DNS 服务商处配 API 密钥，比 webroot 复杂但不受 80 端口限制。要签泛域名证书，dns-01 是唯一方案。启用 HSTS 之前必须确认全站所有子域名都支持 HTTPS，否则浏览器会把整条域名链拉黑，修复成本很高。

六、数据库导入与整站迁移：三种方式与换 URL 的坑

结论：整站迁移最稳的顺序是导库、导文件、换 URL、验功能、反向解析，顺序错了会出现"数据过来了但站点还是老内容"的错觉。

延伸对照：zji 的公开机型与线路说明，可结合本节的判断标准自行核对。

导库有三条路。第一条是面板 phpMyAdmin 图形界面导入，适合 100MB 以内的库，超过之后会因 PHP 的上传与执行超时中断，报错停在百分之九十几或者直接空白页。第二条是命令行，也是最可靠的方式：

mysqldump -u root -p --default-character-set=utf8mb4 --single-transaction 旧库名 > backup.sql

mysql -u 新库用户 -p 新库名 < backup.sql

--single-transaction 是在 InnoDB 上加一致性快照，导出不锁表；--default-character-set=utf8mb4 保证中文和表情符号不乱码。导完用 select count(*) from wp_posts 对比行数，这是唯一可信的验证方式，看文件大小不算数。

第三条是 WordPress 自带工具里的导入导出 XML，适合跨实例搬迁文章和媒体，但插件配置、菜单结构、页面模板不会跟着走，复杂站点不推荐。

文件同步用 rsync 保留属主与权限：

rsync -avz --exclude=wp-content/cache/ user@旧服务器:/var/www/你的域名/ /var/www/你的域名/

上传目录 wp-content/uploads 常常是几十 GB，用 rsync 的 --partial 和断点续传特性，中断后重跑会接着传，不会重头再来。

换 URL 是最容易漏的一步。数据库里存着旧域名，换完服务器后不替换，站点会疯狂跳转到旧域名去。两条命令搞定：

wp option update siteurl 'http://你的域名'

wp option update home 'http://你的域名'

wp search-replace 'http://旧域名' 'http://你的域名' --all-tables

第三条必须在数据库导入完成之后执行，否则替换是白做。内容里有硬编码的旧地址时，用 wp search-replace 加上 --include-ids 或者限定表名分批处理。

反向解析是迁移的最后一环：迁移前三天就把旧机器的 DNS TTL 从 3600 改成 300，切换后再改回 3600。TTL 生效有缓存延迟，改完不要立刻断定解析失败。

七、500 错误排查：按分层顺序定位，不要瞎改配置

结论：500 错误的定位顺序固定为"PHP-FPM 是否活着 → 是不是内存问题 → 是不是权限问题 → 是不是数据库连接问题"，按这个顺序查，四分钟内能定位八成故障。

延伸对照：zorocloud 的公开机型与线路说明，可结合本节的判断标准自行核对。

第一层确认进程还活着。systemctl status php8.2-fpm 如果显示 inactive 或者反复 restarting，500 的原因就在 PHP 侧，看 journalctl -u php8.2-fpm -n 50 的最后五十行，通常能直接看到崩溃原因。反复重启最常见的两个原因是扩展与 PHP 版本不兼容，以及 pool 配置里的 pm.max_children 给太大导致内存不够分。

第二层看是不是内存问题。journalctl -u php8.2-fpm 里出现 Allowed memory size exhausted 就是 PHP 脚本申请内存超过 memory_limit，处理方式是先把 memory_limit 提到 256M 再定位具体哪个插件在吃内存；如果是数据库连接被拒或者连接超时，PHP 的内存占用会异常飙升。判断服务器整体内存压力用 free -h，看 available 那一列而不是 free 列。

第三层看权限。WordPress 报权限相关错误时，检查站点目录属主是不是 www-data、wp-content 目录是否可写、有没有 SELinux 在 CentOS 系上拦着。后台无法上传、插件无法安装、写文件失败这三类症状，根因九成在权限或 SELinux。

第四层看数据库。Access denied 先核对授权语句里的主机名，MySQL 用户是按主机匹配的，写成 'wpuser'@'127.0.0.1' 匹配不到 'wpuser'@'localhost' 的授权，密码正确也连不上；Unknown database 说明库名没建或导错；Maximum connection count reached 说明连接数打满，wordpress-config.php 里加 define('WP_MAX_MEMORY_LIMIT', ...) 配合减少插件数量。

第五层看日志本身。Nginx 的 error.log 记录后端错误，PHP 错误在 /var/log/php8.2-fpm.log，WordPress 调试信息要打开 WP_DEBUG 才会出现在 wp-content/debug.log。排障时先 tail -f 盯住日志再复现问题，比反复盲改配置快得多。

tail -f /var/log/nginx/error.log | grep -i php

改配置时配合 nginx -t 做语法检查，改 PHP 配置后必须重启 PHP-FPM 而不是 reload，因为 opcache 缓存不会因为 reload 失效。

八、404 排查：路径、规则、缓存三层分开看

结论：404 要分三层排查——路径层确认文件真实存在，规则层确认 rewrite 生效，缓存层确认 CDN 或浏览器缓存没有拿着旧响应。先分清层次，能省掉八成的无效折腾。

延伸对照：景文互联 的公开机型与线路说明，可结合本节的判断标准自行核对。

路径层用 ls -l 确认文件在不在磁盘上，用 nginx -T 导出完整生效配置，grep 一下 server_name 和 root，看看 Nginx 实际加载的是不是你以为的那份文件。虚拟主机建了但没做软链接到 sites-enabled，配置根本不会被加载，表现就是域名能打开但内容不对，甚至 404。

规则层看 rewrite 是否生效：

curl -sI http://你的域名/测试路径 | head -3

返回 404 说明规则正常接管了请求，返回 200 且内容是首页说明规则缺失。更隐蔽的一种是规则写错导致所有请求都被重定向到首页或一个不存在的路径，看起来像"站点能开但是所有文章点进去都一样"。

缓存层要区分是 CDN 缓存还是浏览器缓存。CDN 上把缓存规则临时改成不缓存，或者在 URL 后面加一个随机查询串，比如 ?t=1730000000，再访问一次；如果加查询串就好了，就是缓存问题。源站 IP 暴露后，扫描器拿到 IP 会直接绕过 CDN 攻击源站，正确做法是在安全组里只放行 CDN 回源节点。

还有一类 404 是"域名解析到了别的机器"。用 dig 你的域名 +short 看返回的 IP 是否与服务器一致，与控制台里的公网 IP 对不上，就是解析没生效或者被劫持了。这种情况下 Nginx 日志里会一条访问记录都没有，这是最快的判别特征。

最后区分 WordPress 自身返回的 404 和 Nginx 返回的 404。Nginx 的 404 响应体是它自己的默认页面，WordPress 的 404 页面有主题样式并且响应头里带 X-Pingback，两者一眼能分辨。主题或插件把真实文章判成不存在的情况相对少见，先排除前面几层。

九、备份与恢复：备份没演练过就等于没备份

结论：备份的价值不在于文件存在，而在于你能在两小时内把站点恢复出来。因此每次配置完备份任务，必须做一次真实的恢复演练。

延伸对照：backwaves 的公开机型与线路说明，可结合本节的判断标准自行核对。

数据库定时备份用 mysqldump 加 cron。脚本内容是设置 PATH、导出 MYSQL_PWD 环境变量、mysqldump 全量导出、按日期命名并压缩、删除七天前的旧文件。crontab 里加一行每天凌晨三点半执行。写完先用 sh 手动跑一遍看输出，cron 的环境变量和交互 shell 不同，直接写进 crontab 常常因为找不到命令或读不到密码而静默失败。

mysqldump -u 备份账号 -p --default-character-set=utf8mb4 --single-transaction --quick 数据库名 | gzip > /backup/db-$(date +\%F).sql.gz

--quick 很重要，它会逐行读取而不是把整表载入内存，几百 MB 的库用整表缓存会把机器内存吃光导致备份进程被 OOM 杀掉。

文件层备份用 rsync 增量同步到另一台机器或对象存储，同样挂进 cron，只传变化部分。真正的异地备份应该存到与生产机不同机房、不同服务商的对象存储里，同一台机器上的第二块硬盘不构成异地。

保留策略按三层：每日备份保留 14 天，每周备份保留 8 周，每月备份保留 12 个月。保留周期要匹配业务能接受的数据丢失窗口，比如一天内的数据不能丢，就不能只做周备份。

恢复演练的完整流程是：在本地或者另一台测试机上装一个干净的 MySQL，新建一个空库，把备份文件导入进去，然后执行 select count(*) from wp_posts 和 select max(post_date) from wp_posts，两条查询都有结果且数据量接近，才说明这份备份可用。之后把备份文件下载到本地留一份，异地多存一份。整个演练耗时控制在两小时内，超过两小时说明流程有问题，真出事时你来不及。

备份文件本身也要加密或至少加访问控制。备份里包含数据库密码、用户邮箱和订单信息，一旦泄露目录可被浏览访问，等同于把整个站点数据公开。

十、踩坑复盘：五个真实翻车场景和它们的触发条件

结论：下面五个场景不是虚构的故障，它们在真实建站中出现频率极高。重点不是记住结论，而是搞清楚每个方案在什么条件下会反过来伤害你。

延伸对照：digitalvirt 的公开机型与线路说明，可结合本节的判断标准自行核对。

场景一，伪静态迁移只搬了规则没搬配置。WordPress 站点从宝塔迁到手工 Nginx 时，旧站的伪静态规则写在面板的数据库配置里，导出站点文件不会带走它。结果是新站上线后所有文章 404，而首页正常，因为首页是真实存在的 index.php 文件。触发条件是迁移跨越了面板与手工两种环境。教训是迁移清单里必须包含"rewrite 规则"这一项，且要用 curl -I 逐类路径验证。

场景二，wp-content 目录权限过宽加上明文 FTP。上传目录设成 777 之后，任何一个拿到账号的人都能写文件；很多主机默认给的是明文 FTP，账号密码在网络上明文传输。触发条件是使用了默认的主机账号去连 FTP。后果是站点被挂后门，Google 收录里出现赌博页面，而且不是一次性清理就能解决。正确做法是只保留 SFTP，目录权限收到 755、文件 644，wp-config.php 单独设 640。

场景三，PHP 大版本升级引发后台白屏。老主题或插件在 PHP 8.2 下调用了被移除的函数，后台直接 500 或者输出空白页，而前台因为走了页面缓存看不出问题。触发条件是跨两个大版本升级且没做测试。应对方式是先在预发布环境用相同版本跑一遍，并把升级动作放进低峰期，同时准备好回滚点。

场景四，只盯 CPU 不看内存，PHP-FPM 被 OOM 反复杀掉。监控面板上 CPU 使用率始终只有百分之几，看起来很健康，但站点每小时崩一次。这是最难自查的一类问题，因为表面上所有指标都正常。判据是 dmesg -T | grep -i "out of memory" 或者 journalctl -k | grep -i oom，命令输出里有 killed process 字样就实锤了。

场景五，证书只配了叶证书。Chrome 桌面端正常，Safari 与安卓浏览器提示证书无效，搜索引擎的抓取工具也会记录 HTTPS 异常。触发条件是照抄了只填 ssl_certificate 的老教程。判据是 openssl 数证书数量，只有 1 张就是不完整。

补一条容易被忽略的：数据库定时备份和站点文件备份的时间点如果撞在一起，同时又碰上磁盘写满，MySQL 可能被 kill，备份脚本又恰好在恢复，这两种故障叠加会让站点长时间不可用。所以备份任务要错开时间，并且磁盘使用率到 80% 就告警，不要等 100%。

十一、上线验收清单：上线前逐条打勾，别靠感觉

结论：上线验收是拿来执行的，不是拿来读的。下面四组共三十多项，每一项都有明确的通过判据，逐条确认再对外宣布站点上线。

延伸对照：hostkvm 的公开机型与线路说明，可结合本节的判断标准自行核对。

安全组这一组：确认只有 22（或你改过的 SSH 端口）、80、443 三个端口对公网开放；确认 3306 和 PHP-FPM 的 9000 端口没有暴露；确认 root 密码登录已关闭、SSH 已换成密钥；确认服务器防火墙与商家安全组两层都放行了 80 和 443，本机 curl 正常但外网不通的情况九成是这两层只开了一层；确认宝塔面板端口已改且安全入口已开启，直接访问根域名返回 404。

证书与跳转这一组：用 openssl 数证书数量不少于两张；浏览器访问 http 开头会自动跳到 https；www 与裸域统一跳转到同一个地址；HSTS 响应头存在但没有把未支持 HTTPS 的子域名拉黑；混合内容告警在浏览器控制台里没有红色提示。

站点功能这一组：后台可以登录、可以发文章、可以上传图片、可以安装和更新插件；固定链接改成 /%postname%/ 后随机点开三篇文章都能正常打开；分类页、标签页、搜索页返回正常；Contact 表单和邮件通知能实际收到；404 页面有自定义内容而不是 Nginx 默认页；robots.txt 存在且写明了 sitemap 地址，sitemap.xml 能访问到。

运维这一组：数据库和文件的定时备份都已配置且手动执行过一次成功；恢复演练做过一次并记录了耗时；日志轮转规则保留七天并压缩；磁盘告警阈值设在 80%；服务器监控与站点可用性监控已接入，能在站点挂掉时收到通知；wp-config.php 权限是 640 且数据库密码不在明文里；系统安全更新有自动或定期执行机制。

SEO 与内容这一组：站点标题与描述每个页面都不重复；图片写了 alt 属性；结构化数据按需添加；canonical 标签指向唯一地址；站点地图已提交到搜索引擎站长平台并完成索引申请。索引申请通常要一两周才见效，提交完看不到收录属于正常现象，不要因此反复改站点。

监控也要落到具体阈值上，而不是装个面板就算完。CPU 连续五分钟高于百分之八十告警，内存可用量低于百分之二十告警，磁盘使用率到百分之八十告警，站点 HTTP 可用性探测每分钟一次，连续失败三次告警。这四条阈值配合通知渠道，才能保证站点挂了你会真的收到消息，而不是隔天访问时才发现。日志方面，Nginx 的 access.log 记录访问结果，error.log 记录后端错误，PHP 错误在 /var/log/php8.2-fpm.log，数据库错误在 /var/log/mysql/error.log，排障时先用 tail -f 盯住日志再复现问题，比反复盲改配置快得多。

十二、分场景选型路径与配置决策表

结论：新手、预算紧、要稳定三种情况的路径完全不同，选错路径的代价远大于选错商家。把决策条件写成表，照表选即可。

延伸对照：vollcloud 的公开机型与线路说明，可结合本节的判断标准自行核对。

| 你的情况 | 建议路线 | 关键动作 | 理由 | | --- | --- | --- | --- | | 第一次建站，不懂运维 | 宝塔面板 + 2核2G | 改面板端口与安全入口，关掉用不到的套件组件 | 上手快，备份和证书在面板里一键完成，踩坑成本最低 | | 预算压到最低，只做展示站 | 手工 LNMP + 1核2G | 静态化 WordPress 或换 Hugo，加 2G swap | 文本站瓶颈在带宽不在 CPU，精简环境比加配置划算 | | 日均万级 PV，要稳定 | 2核4G + 独立 IPv4 | 前面挂 CDN，PHP-FPM 改 static 模式 | 单核在插件批量更新时会被打满，4G 内存撑得住缓存与数据库 | | 图片多、追求首屏 | 端口 5Mbps 以上 + NVMe | 媒体库传对象存储，主站只放缩略图 | 瓶颈是带宽和存储 IO，不是 CPU | | 要跑会员、支付、工单 | 4核8G 起步 | 独立数据库或托管数据库，日志集中收集 | 多进程业务对内存和数据库连接数的需求是线性增长的 | | 内地访客为主且要备案 | 香港节点只做海外站 | 另配国内节点并完成备案 | 香港节点不解决备案问题，域名指向境内服务器必须备案 |

商家挑选时，把有结构化套餐数据的先拿来算单位成本。以公开的产品数据为例，云途的香港 DS 系列标注了内存、硬盘、端口带宽和月流量四个口径，其中 HK.DS.M 标注三万二千 MB 内存、四百八十 GB 硬盘、一千兆比特端口、每月一万 GB 流量，标价三百五十元人民币每月；HK.DS.S 标注十二万八千 MB 内存、六千 GB 硬盘、两千兆比特端口、每月四万 GB 流量，标价八百元人民币每月。需要注意的是这类属于独享服务器而不是共享 VPS，规格口径不能直接和别家的小 VPS 放在一起比，最终报价与库存以官网当日报价为准。

没有结构化套餐数据的商家，按行业常见区间估算并标注是估算值：一核一G 的共享型 VPS 每月光付在几美元到十几美元区间，两核两G 在十几到二十几美元区间，具体受带宽和流量配额影响很大，同样要向商家确认后再决策。还要确认三件事：是否提供独立 IPv4 且可自行更换、是否支持自定义防火墙规则、能否自行重装系统并迁移机房。

新手路径是宝塔面板加 2核2G，把三件事做完就算成功上线：把面板入口改安全、把站点迁到 HTTPS、把备份任务跑通并演练一次。预算紧路径是手工装 Nginx 加 PHP 加 MariaDB，用 1核2G 加交换分区顶住，站点做静态化缓存，图片走对象存储，目标是月成本压到最低同时不掉线。要稳定路径是 2核4G 起，配 CDN 与监控告警，数据库单独规划，备份异地多副本，把每周一次的恢复演练写进日历。

十三、页面速度与缓存：香港节点上的真实瓶颈在哪

结论：香港VPS的线路优势只解决了一半问题，另一半被 PHP 动态渲染和未压缩的静态资源吃掉。页面首屏超过三秒时，先测 TTFB，再看静态资源，再谈换线路，顺序反了会白白加钱。

延伸对照：zgovps 的公开机型与线路说明，可结合本节的判断标准自行核对。

先测 TTFB。curl -o /dev/null -s -w "TTFB: %{time_starttransfer}s\n" https://你的域名/ 会给出服务器响应第一个字节的时间。判读口径：香港节点面向大陆访客的 TTFB 正常落在 200 到 600 毫秒，超过 1 秒说明瓶颈在服务器侧而非网络侧。此时去查 PHP-FPM 的 worker 是否被打满：ps -o pid,pcpu,rss,cmd -C php-fpm8.2 看进程状态，如果 worker 数长期贴着 pm.max_children，说明每个请求的处理时间过长。

最常见的元凶是没有页面缓存。WordPress 每一次请求都要连数据库查文章、查选项、跑插件钩子，一个页面十几到几十次查询，全新安装的机器上单页查询时间在 200 到 600 毫秒之间。装一个页面缓存插件，把缓存时间设成 300 秒并开启整页缓存，TTFB 通常能直接降到 100 毫秒以内。判读方式很直接：刷新两次同一篇文章，第二次的 TTFB 应当明显低于第一次，如果两次一样，说明缓存根本没生效，多半是动态内容占比太高或者插件被别的优化插件冲突关掉了。

数据库层面能做的事有三条。第一是把 wp_options 表加上索引，autoload 字段设为 yes 的行在每次请求时都要被读取，把不常用的选项改成 no 可以减少查询量。第二是开启 MySQL 的慢查询日志，路径在配置项 slow_query_log_file，设定超过 0.2 秒的语句记录下来，然后按日志里出现次数最多的语句去改代码或加索引。第三是把 wp_postmeta 表的清理插件挂到 cron 上，每月一次，删掉文章删除后残留的元数据，这个表通常比 wp_posts 大好几倍。

静态资源是第二大项。经验值是一张 250KB 的未压缩图片在 1Mbps 端口上要传两秒，首屏五张图就是十秒起步。压缩与格式转换是纯收益：jpg 转 webp 通常能减到三分之一体积，把大图缩到实际展示宽度而不是直接传原图，主题自带的核心 CSS 和 JS 用 wp-rocket 之类的插件合并压缩，字体文件转 woff2。这几项做完后首屏传输量通常能砍掉一半以上。

浏览器端的缓存头也要配。Nginx 里给静态资源加 expires 30d，图片加 immutable，HTML 页面加 no-cache，避免用户拿到旧页面引用已经不存在的资源。这一步对 SEO 也有意义，搜索引擎反复抓取时不必每次重新下载全部静态资源。

CDN 的收益边界要算清楚。CDN 能加速静态资源并挡掉一部分扫描流量，但源站 IP 一旦暴露，攻击者会绕过 CDN 直接打源站。正确配置是在安全组里只放行 CDN 的回源节点，这样加速和防护才同时成立。纯动态站点接 CDN 的收益很有限，WordPress 站接 CDN 的价值主要在静态资源与图片，所以要先把缓存和压缩做完再接 CDN，顺序反了等于花钱买一半效果。

十四、常见问题：建站过程中最常被问到的十个问题

香港VPS搭建WordPress需要备案吗？ 服务器放在香港机房属于境外节点，域名解析到香港 IP 不走中国大陆的 ICP 备案流程。但如果业务主体和运营都在境内并且面向境内用户提供经营性互联网信息服务，仍然要遵守相关许可要求，服务器放在境外不等于可以绕开全部监管，站点内容也要合法合规。

1核1G 的机器能装 WordPress 吗？ 能装，但属于勉强能跑的状态。必须加 1 到 2GB 交换分区防 OOM，精简插件数量，关闭后台心跳，启用页面缓存，遇到批量更新或高并发就明显变慢。生产环境建议 2核2G 起步。

用宝塔面板还是手工装 Nginx 加 PHP 加 MySQL？ 面板上手快、备份和证书管理省事，代价是常驻内存多 150 到 320MB，默认组件偏多，安全更新要自己盯。手工配置内存占用低、可控性强，但每一步都要自己负责。个人博客用面板完全够用，要跑多站或对资源有精细要求就手工装。

改固定链接后全站 404 怎么办？ 这是伪静态规则缺失。Nginx 侧把 location / 的 try_files 改成 $uri $uri/ /index.php?$args; 并补上 fastcgi_split_path_info 与 try_files $fastcgi_script_name =404;，宝塔用户则在伪静态框里选 nginx 粘同样内容，保存后用 grep -n "try_files" 回读配置确认写进去了。

网站报 500 错误怎么排查？ 按四层顺序查：PHP-FPM 是否在运行并反复重启，看 journalctl -u php8.2-fpm；是不是内存问题，看 free -h 的 available 与 dmesg 里的 oom 记录；是不是权限问题，看站点目录属主与 SELinux 状态；是不是数据库连接问题，看授权语句里的主机名与实际连接方式是否匹配。

证书签发成功但浏览器提示不安全？ 多半是只填了 cert.pem 而不是 fullchain.pem，缺少中间证书，Chrome 能容错但 Safari 和安卓浏览器会直接拦截。用 openssl s_client 数证书数量，少于两张就是链不完整，改成 fullchain.pem 后 nginx -t 再 reload。

整站迁移到新服务器的正确顺序是什么？ 导库、导文件、换 URL、验功能、反向解析。导完库后必须执行 wp option update siteurl 与 home，再用 wp search-replace 替换内容里的旧域名，最后才是 DNS 切换，切换前三天把 TTL 降到 300。

备份做了但心里没底，怎么验证？ 在另一台机器或本地环境装一个干净的 MySQL，把备份导入空库，执行 select count(*) from wp_posts 对比行数，能对上才叫有效备份。同时把备份文件下载一份到本地留存。

香港VPS建站选几核几G，取决于什么？ 取决于流量、插件数量和后台操作频率。判断口径是内存余量：把系统、数据库、PHP-FPM worker 和面板的常驻内存加起来，再留 30% 余量；低于 1G 的机器就不适合生产站点。

建站完成后多久能在搜索引擎看到收录？ 提交站点地图并申请收录之后通常需要一到两周，期间收录量波动属于正常。不要因为短期没收录就反复改标题、改 URL 结构或换模板，这些操作会让搜索引擎重新评估站点，反而拖慢收录进程。