如何保护网站免受攻击？这 11 项关键措施建议逐条落实 🔒

网站安全这件事，最怕的不是不懂技术，而是"知道该做但一直没做"。下面这 11 项按照实际落地的优先级排列，每一条都直接对应真实的失陷路径。做完前六条，能挡掉现实中绝大多数自动化攻击。

1️⃣ 彻底消灭弱口令

这是最老套也最有效的入侵方式，至今仍在大量发生。

需要检查的不只是网站后台，还包括：数据库账号、SSH登录、服务器面板、Redis、FTP、云平台控制台、第三方接口密钥。任何一处使用默认密码或简单密码，整条防线就白建了。

关键动作：不同系统使用不同密码，禁止复用；核心账号一律开启二次验证；离职人员账号立即清理。

2️⃣ 保持组件版本更新 🔄

框架、CMS、插件、中间件、运行环境——这些第三方组件的漏洞公布后，公开利用代码通常几小时内就会出现，扫描器随即全网批量尝试。

关键动作：建立组件清单，明确记录每个系统用了哪些版本；订阅所用框架的安全公告；对于已停止维护的老旧插件，直接卸载而不是留着。

不用的功能就是纯粹的攻击面，没有任何保留价值。

3️⃣ 全站启用 HTTPS 并正确配置

明文传输意味着密码、会话凭证、用户数据在链路上完全暴露。

关键动作：证书覆盖所有子域名；配置自动续期避免过期宕站；开启 HSTS 强制跳转；关闭 TLS 1.0/1.1 等不安全协议；检查页面内是否存在混合内容（HTTPS 页面加载 HTTP 资源）。

4️⃣ 用参数化查询根治注入 💉

SQL注入之所以存在，根源在于程序把用户输入直接拼进了SQL语句，数据和指令混在了一起。

关键动作：所有数据库操作使用预编译语句或ORM，彻底禁止字符串拼接；表名、字段名等无法参数化的位置，改用白名单映射；数据库账号按最小权限分配，Web业务账号不给 DROP、不给文件读写权限。

过滤特殊字符不是解决方案，分离数据与代码才是。

5️⃣ 把文件上传管死 📂

这是实际失陷案例里出现频率最高的一条路径。

关键动作（缺一不可）：

• 服务端校验文件类型，不能只信前端和扩展名
• 上传后重命名文件，不保留原始名称
• 上传目录关闭脚本执行权限，这一条最关键
• 存储目录与Web根目录分离，或使用对象存储
• 限制文件大小和上传频率

即使攻击者成功传上了脚本文件，只要目录不解析执行，它就是一堆无害的文本。

6️⃣ 接入 CDN 与 WAF，隐藏源站 🌐

边缘防护提供的核心价值是缓冲时间——代码修复需要周期，但攻击不会等你。

接入后必须确认源站IP真的藏住了：历史DNS记录、子域名解析、邮件发信头、证书透明日志，这些都可能泄露真实IP。源站防火墙应只允许CDN回源IP段访问。

WAF配置建议：先开观察模式跑几天，查看日志中哪些规则被触发，确认不误伤业务后再切换到拦截模式。后台路径、上传接口、登录接口单独收紧策略。

7️⃣ 收敛端口与网络边界 🚪

原则是默认拒绝，按需放行，而不是反过来逐个封堵。

关键动作：数据库、Redis、Elasticsearch、MongoDB 一律不对公网开放；SSH禁用密码登录改用密钥，限制来源IP；远程桌面不直接暴露公网；同时管住出方向流量——被控制的主机会尝试外联，切断这条链路能及时暴露问题。

8️⃣ 做好权限校验，尤其是越权 🎫

扫描器扫不出越权漏洞，但它造成的数据泄露往往最严重。

水平越权：改个订单ID就能看别人的信息。
垂直越权：普通用户直接请求管理员接口。

关键动作：每个接口都要校验"当前用户是否有权操作这条具体数据"，而不只是"是否已登录"；敏感操作避免使用连续可猜测的ID；Web进程用低权限账号运行，绝不用root。

9️⃣ 防住 XSS 与 CSRF

XSS防护：输出时按上下文正确转义——HTML、JavaScript、URL 三种位置的转义方式各不相同；富文本内容用成熟的白名单过滤库处理，不要自己写正则；配置 CSP 策略限制脚本来源。

CSRF防护：关键操作校验 Token；Cookie 设置 SameSite 属性；敏感操作要求二次确认。

🔟 备份要能真的恢复 💾

备份存在不等于备份可用。太多人是在需要恢复的那一刻，才发现备份文件早就损坏了。

三个必须满足的条件：

• 异地存放，不能和生产在同一台机器
• 定期验证，每季度实际恢复一次到测试环境
• 账号隔离，备份存储的凭证与生产环境分开，否则勒索软件会连备份一起加密

这是所有措施里唯一的"最后保险"，其他都失效时只剩它了。

1️⃣1️⃣ 日志留存与异常监控 📊

没有日志，被入侵后连"怎么进来的"都查不清，修复就成了盲目重装。

关键动作：访问日志、错误日志、系统登录日志至少保留半年；对网站目录做文件完整性监控，新增可执行文件立即告警；设置异常告警规则——异地登录、非工作时间操作、请求量突增、大量4xx/5xx。

WebShell应该在被写入的那一刻就被发现，而不是三个月后收到通报。

已经被入侵了怎么办 🚨

按这个顺序，别先急着重装：

1. 先打快照保留现场，不要急着删文件
2. 断开外联，防止数据继续外泄
3. 排查驻留：计划任务、启动项、SSH密钥文件、异常进程和端口
4. 定位入口：翻Web日志，找到恶意文件的首次访问时间，往前追溯
5. 修补漏洞而非只清后门，不补洞的话后门一周内会回来
6. 全量改密：数据库、后台、SSH、云平台密钥、第三方接口凭证，一个不能漏

写在最后 💡

这 11 项里，投入产出比最高的其实是最朴素的几件：去掉弱口令、组件及时更新、上传目录禁执行、参数化查询、隐藏源站、做好可恢复的备份。

它们不需要高深技术，也不需要大笔预算，但能拦下现实中九成以上的攻击。剩下的定向攻击，也会因为你的防护层次足够多，让对方的成本高到不划算。

安全投入的回报是"什么都没发生"，这恰恰是它最容易被一拖再拖的原因。