之前（接二连三修电脑）修 WordPress 故障的时候就发现服务器负载异常地高，我这么一个没啥流量的小站，怎么会把 1C Server 拉满呢？之前安装了 Advanced IP Blocker 插件，我观察了最近的日志后发现，有大量尝试登录的请求，让本就不富余的 CPU 雪上加霜：

只在 WordPress 上识别并 Block 这些请求并不能让这些请求停止消耗服务器 CPU 资源，并且这些恶意请求的 IP 来源广泛，Ban IP 根本 Ban 不完。于是我想到了可以利用 Cloudflare 的 Security Rules 提前削弱这些到达服务器的流量：

对于 /wp-login.php ，我开启了强制验证，这样既能挡住弱智的机器人，又能在必要时候允许我通过比较糟糕的 IP 登录 WP。对于访问 /xmlrpc.php 的请求我的策略是全部拒绝，因为我并没有使用 JetPack 或者其他用来远程操作 WordPress 的软件。从上图中也可以看到，针对这个接口的恶意请求也是最多的。

启用 Security Rule 之后，AIB 报告的 IP Block 事件少了 2/3，服务器也不容易卡顿了。