一、基础层：先把最容易被攻破的漏洞堵死

1. 后台安全
   • 改掉默认后台路径（如 /admin、/login）
   • 密码：字母 + 数字 + 符号，12 位以上，不重复使用
   • 开启：验证码、登录失败锁定、IP 白名单
2. 账号权限
   • 不用超级管理员账号日常操作
   • 及时删除不用的测试账号、外包账号
   • 后台操作日志定期查看
3. 程序与插件
   • 源码、CMS、主题、插件只从官方下载
   • 不用的插件、主题直接删除，不留在服务器
   • 及时更新补丁，尤其安全更新

二、服务器层：防止被入侵、挂马、攻击

1. 服务器基础加固
   • 关闭不必要端口（只开 80、443）
   • 禁用远程默认管理员账号，改 SSH 端口
   • 安装防火墙，禁止国外恶意 IP 访问
2. 文件权限
   • 上传目录禁止执行脚本
   • 网站目录不要给 777 权限
   • 关键配置文件设为只读
3. 防 CC、防刷接口
   • 限制单 IP 访问频率
   • 开启 CDN，隐藏真实服务器 IP
   • 屏蔽恶意爬虫、扫描器

三、网站业务层：防注入、XSS、上传木马

1. 防 SQL 注入
   • 关闭网站错误详细提示
   • 使用参数化查询，不直接拼接 SQL
   • 对用户输入严格过滤
2. 防 XSS 跨站脚本
   • 评论、留言、表单内容过滤 JS 代码
   • 开启 CSP 安全策略
3. 防文件上传漏洞
   • 限制上传类型、大小、重命名文件
   • 上传目录与程序目录分离

四、防御自动化：让系统自己帮你守站

1. 自动备份
   • 数据库每日备份
   • 全站文件定期备份
   • 备份异地存放（服务器一份，本地一份）
2. 监控告警
   • 网站打不开告警
   • 被挂马、页面被篡改告警
   • 流量异常、攻击告警
3. HTTPS 强制开启
   • 安装 SSL 证书
   • 配置 301 跳转 HTTP 到 HTTPS
   • 开启 HSTS，防止协议降级攻击

五、日常安全习惯

1. 不在公共 WiFi 下登录后台、服务器
2. 不随便给外包、开发最高权限
3. 不点击陌生后台登录链接、不下载不明工具
4. 定期：
   • 查是否被黑链、暗链、博彩广告
   • 查是否有可疑文件、后门脚本