网站安全加固清单
网站做好不等于安全。这一页把我实际部署时会逐项检查的加固动作写出来，供你对照自查。
为什么「网站做好了」不等于「安全了」
建站时大家盯的是页面能不能打开、好不好看；攻击者盯的是别的东西：哪些文件被服务器直接返回了、哪些目录允许执行脚本、哪些接口不需要登录就能访问。这两张清单几乎没有交集。
而且出问题往往是静默的——网页照常打开，只是某些文件可以被人随意下载。等发现时，通常已经过去一段时间。
三个最常见的失守点
一是备份与临时文件被服务器直接返回。改配置文件时顺手存一份 .bak、.old、.sql，或者压缩包留在网站目录里，如果服务器把「存在的文件」直接返回给访客，这些文件就等于公开放着。配置类文件里往往有数据库账号与口令。
二是上传目录允许执行脚本。图片、附件目录本应只读不能执行，一旦允许执行，通过上传接口放进去的脚本就能被访问并运行。
三是不必要的接口对外暴露。站点程序往往带一些远程接口，正常用不到，但会被自动扫描器反复敲。
上线前必做的 6 项加固
都不依赖额外软件，改的是服务器与程序的配置。
- 备份文件移出网站目录：备份统一放到网站根目录之外，并收紧文件权限，不再通过网址访问得到。
- 拦截敏感后缀：让 .bak、.old、.save、.sql、.zip、.log、.env、.ini、.conf 这类后缀的请求直接返回 404。
- 上传目录禁止执行脚本：附件、图片目录里的脚本请求返回 403，只允许作为静态文件读取。
- 关闭用不到的程序接口：把长期用不上、却会被扫描器敲门的老接口关掉或屏蔽。
- 配置文件权限收紧：主配置文件设为仅属主可读写，去掉同组与其他用户的读权限。
- 建立可回滚的备份节奏：备份分本地与异地两份，改配置前先备份，改完能立刻还原。
加固的目标不是「绝对不被攻击」，而是把明显的、低成本的入口先堵上。绝大多数自动化扫描只找最省事的那个口子。
常见问题
开了 HTTPS 就算加固了吗？
不算。HTTPS 解决的是传输过程被窃听与篡改，解决不了「备份文件被直接下载」「上传目录能执行脚本」这类问题。两者是不同层面的防护，都要做。
加固会影响网站正常访问吗？
正规做法不会。拦截的是本就不该被公开的后缀与目录，正常页面、图片、后台操作都不受影响。改完按一遍全站主要页面确认即可。
做了加固，以后就绝对不会被黑？
不能保证。加固是提高门槛、堵住常见入口，让自动化扫描不再轻易得手。程序本身出现新漏洞仍需要及时更新，所以更新和备份是长期动作。
我怎么知道自己网站上有没有这类问题？
最简单的自查：试着访问你的域名后面加一个不存在的备份文件名，比如把主配置文件后面拼上 .bak。如果返回的是一个文件而不是 404，就说明这个口子是开的。
想让我帮你对一遍加固项
留下联系方式，我先看你现在的站（或你的需求），告诉你能改什么、大概多少钱，不推销。
