去年帮朋友装一套WordPress，网站他图省事直接下了个“一键安装包”，源码结果网站上线第三天就被挂马，安装首页跳转到博彩页面。教程排查发现，网站那个安装包里的源码wp-config.php被植入了一段base64加密的后门。源码安装这件事，安装偷懒往往要付双倍代价。教程

所谓网站源码安装，网站本质是源码把一套程序文件放到服务器能访问的目录，再配好数据库连接，安装让程序跑起来。教程听起来简单，网站坑却集中在细节里。源码

先确认服务器环境

拿到源码别急着上传。安装打开压缩包里的readme.txt或composer.json，看清楚它要什么。PHP程序通常要求PHP 7.4以上，MySQL 5.7或8.0。我见过有人把需要PHP 8.1的Laravel项目扔进PHP 5.6的环境，页面直接白屏，报错都不给。

用php -v和mysql --version查一下。虚拟主机的话，去控制面板找“PHP版本切换”。VPS就自己装，Ubuntu下apt install php8.1-fpm php8.1-mysql，别漏了扩展。缺fileinfo或gd这类扩展，程序装到一半会卡住。

上传与解压的位置有讲究

源码压缩包通过FTP或面板的文件管理器上传到网站根目录。根目录通常是/www/wwwroot/你的域名或者/var/www/html。传上去之后解压，注意别把文件套娃——有些压缩包解开后里面还有一层同名文件夹，要把内层文件全部移到根目录，否则访问域名会看到文件列表而不是安装界面。

文件权限顺手设一下。目录755，文件644，wp-config.php这种敏感文件可以设600。别学网上那些“全部777”的教程，那等于把门拆了。

数据库不是建完就完事

在MySQL里新建一个库，字符集选utf8mb4，排序规则utf8mb4_unicode_ci。再建一个专用用户，只给这个库的权限，别用root。密码用openssl rand -base64 16生成一串，别自己编“admin123”。

接下来找配置文件。WordPress复制wp-config-sample.php为wp-config.php，填入库名、用户名、密码、主机地址（一般是localhost）。ThinkPHP之类的框架，配置在config/database.php。Typecho是config.inc.php。填完保存，用浏览器访问域名，安装向导应该就出来了。

安装向导里的隐藏选项

走到填站点标题、管理员账号那一步，注意“允许搜索引擎索引”这个勾。新站还没内容，建议先取消，等文章攒到十几篇再放开。管理员用户名别用admin，密码至少16位混合大小写和符号。数据库表前缀如果程序支持，改成wp_以外的随机串，比如xk7_，能挡掉一批自动化扫描。

点安装，等它跑完建表语句。如果卡在“正在连接数据库”超过十秒，八成是数据库主机填错了。有些宝塔面板的MySQL监听端口不是3306，或者socket路径不对，改成127.0.0.1:3307这种格式试试。

装完立刻做三件事

删掉install.php或install/目录。不删的话，别人重新访问安装地址可能覆盖你的配置。检查根目录有没有.user.ini或.htaccess，该留的留，该改的改。最后设个定时任务，每天备份数据库和上传目录，别等数据丢了再拍大腿。

源码安装没有“一键”的魔法，每一步都对应着服务器上真实发生的文件读写和进程通信。把每个环节当回事，网站才能稳。那些号称三分钟建站的工具，省下的时间迟早会在安全事件里还回去。