我不会为自述文件而烦恼，因为可能没有黑客会在试图入侵该网站之前检查你的WP版本。不会为/wp includes和/wp admin中的任何内容而烦恼，因为我相信核心团队会在默认安装中确保代码的安全，并且这些文件不包含任何特定于我的站点的信息。

要保护的文件是wp config。php，因为它包含DB访问详细信息和/wp内容目录，因为主题和插件开发人员不太擅长安全性。对于wp config，只需在中拒绝访问。htaccess

<files wp-config.php>
order allow,deny
deny from all
</files>

对于/wp-content/plugins和/wp-content/theme，通过添加来拒绝对任何非animage、js或css文件的访问。htaccess具有以下内容。如果插件或主题不能与此配置配合使用，它们可能不会遵循WP编码准则，最好不要使用它们。

<Files ^(*.jpeg|*.jpg|*.png|*.gif|*.js|*.css)>
   order deny,allow
   deny from all
</Files>

对于/wp内容/上载，您不能真正拒绝访问，因为您不知道将上载哪种类型的文件，因此最好的做法是不允许在该目录中执行php、perl、pyton，并按照以下规则将它们作为纯文本提供

<FilesMatch "\\.(php|pl|py|jsp|asp|htm|shtml|sh|cgi)$">
ForceType text/plain
</FilesMatch>

一旦您感到满意，您可能应该将所有内容合并为一个。根目录下的htaccess可获得更好的性能