结论：改入口名只能挡住一部分无脑扫描，真正管用的是「路径不暴露 + 登录侧限流锁定 + 敏感路径拦截」这三件套一起开。

① 先把默认后台目录整体改名，别用 admin、manage、guanli 这类扫描字典里的高频词，换成一段没规律的字符串。改完记得关掉旧地址的直接访问，别做 301 跳转。跳到新地址等于主动告诉扫描器新入口在哪。

② 再到后台「系统设置 → 安全」把敏感路径拦截和安全响应头打开，然后跑一次环境体检。协议层、安全层没过的项会直接给出一段按当前域名填好的 Nginx 配置片段，复制粘贴即可，不用自己琢磨规则。

③ 登录这一侧别裸奔：连错锁定默认是 5 次锁 15 分钟，可以按站点情况调得更严；同 IP 高频失败拦截保持开启，专门防密码喷洒。后台「用户体系 → 登录日志」定期翻一下，发现异常 IP 直接用 IP 封禁，支持定时解封。

④ 心态上要清楚：没有哪个站是靠藏地址变安全的。路径隐藏只是降低被批量脚本命中的概率，密码强度和审计日志才是底线。