不建议在生产环境直接安装宝塔面板。因其默认暴露8888端口、root权限运行、缺乏fips/selinux支持、存在历史漏洞风险，仅限内网或测试环境使用；若必须部署，须严格限制访问、禁用高危功能并校验安装脚本。
宝塔面板在生产环境是否应该直接安装
不建议。宝塔面板默认监听 8888 端口、内置 Web 服务（Nginx/Apache）、开放文件管理器和数据库可视化界面，这些在企业级生产环境中属于高危暴露面。官方未提供 FIPS 合规、SELinux 强制策略适配或审计日志完整追踪能力，且其后台服务 bt 进程以 root 权限长期运行，一旦面板 Web 层被利用（如历史上的 /config.json 泄露、/api/GetSafeList 权限绕过），可直接获得服务器控制权。
常见错误现象：curl http://localhost:8888 能返回宝塔登录页；ps aux | grep bt 显示 root 用户启动的 Python 进程；防火墙未禁用 8888 和 8889 端口。
- 仅限内网跳板机或开发测试环境使用，禁止暴露到公网或 DMZ 区
- 若必须部署，需配合反向代理（如 Nginx）限制 IP 白名单，并关闭面板自动更新与计划任务推送
- Ansible 脚本中不得包含
curl -O http://download.bt.cn/install/install_6.0.sh类无校验下载命令
Ansible 部署宝塔前必须完成的系统预检
宝塔对 CentOS 7/8、Ubuntu 20.04+、Debian 10+ 有硬性依赖，但企业环境常存在定制内核、精简系统或容器化宿主机，导致安装失败或功能异常。Ansible 脚本必须先验证而非假设环境就绪。
关键检查项：
- 确认
/proc/sys/net/ipv4/ip_forward为0（宝塔网络模块会误判为路由器模式） - 检查
systemd-resolved是否启用：若启用，宝塔 DNS 设置页面可能无法保存，需提前停用并清理/etc/resolv.conf符号链接 - 验证
python3是否为系统默认：宝塔 7.x 依赖python3.6+，但部分 RHEL 8 最小安装仅含python3.9，需确保python3命令可执行且pip3可用 - 确认
/var/lib/rpm存在且可读（CentOS/RHEL 下用于检测包管理状态，缺失会导致面板初始化卡死）
Ansible 中安全拉取并校验宝塔安装脚本
宝塔官方安装脚本每次发布都会变更 SHA256，且脚本本身会动态下载二进制组件（如 panel、nginx），不能只校验入口脚本。Ansible 必须分步校验，否则可能引入中间人攻击或镜像篡改风险。
实操建议：
- 从宝塔 GitHub Release 页面（
https://github.com/bt-cn/bt/releases）获取最新版安装脚本 URL 和对应SHA256SUMS文件 URL - 用
get_url模块下载两者，并用community.general.sha256sum检查install.sh的哈希值是否匹配SHA256SUMS中的条目 - 禁止使用
shell: bash install.sh直接执行；应改用command模块加--force参数，并通过args: creates=/www/server/panel避免重复执行 - 安装后立即执行
rm -f /www/server/panel/install.sh—— 宝塔不会自动清理该文件，残留即为后门入口点
批量部署后必须关闭的宝塔默认高危配置
Ansible 安装完成后，面板处于“开箱即用”状态，大量功能默认开启且无访问控制，这是企业环境最易被忽略的风险点。
以下配置必须通过 Ansible 的 uri 模块调用宝塔 API 关闭（需先用 bt default 获取初始密码并设置 API 密钥）：
- 关闭
WebSSH：API 请求POST /api/ssh/get_ssh_status返回"status":true时，调用/api/ssh/set_ssh_status?status=0 - 禁用
文件管理器：修改/www/server/panel/data/files_list.pl内容为0（非删除该文件） - 清除默认数据库用户：执行
mysql -uroot -p$(cat /www/server/panel/database/default.db) -e "DROP USER ''@'localhost'; FLUSH PRIVILEGES;" - 停用宝塔监控插件：运行
bt 18并选择“卸载”，因其会持续上报服务器指标至宝塔服务器
没有 API 密钥或未重置初始密码的 Ansible 脚本，等于批量开通了管理员后门。这点比安装本身更关键。
