aucms
登录 注册

站点上线前要做哪些安全加固？

已解决 提问于 2026-10-25 提问者：超级管理员 24 次阅读

正式对外前想 systematically 过一遍安全项，有哪些必须做的？

上线 后台 安全

回答（1）

已采纳最佳答案
  • 2026-10-25 回答 最佳答案

    上线安全清单：

    1. 改默认口令：默认管理员口令绝不能留，后台改掉或 php aucms user:password admin；
    2. 敏感文件不可下载：确认 data/、config/、runtime/、.workbuddy/ 在 Nginx/.htaccess 里 deny（官方 nginx.conf.example 已内置，用宝塔等面板要自己核对），实测直接访问 /.env、/data/aucms.db 这类路径应 403/404；
    3. 数据库账号最小权限：站点用的 MySQL 账号不要给 root，只授本库的增删改查+建表；
    4. HTTPS：证书 + 301 + Mixed Content 清零；
    5. 登录验证码保持开启（系统设置），登录失败自动限流；
    6. 评论审核按需开启，挡垃圾外链；
    7. 备份：数据库每日 + 程序目录变更后，备份先扫敏感信息再归档；
    8. 升级：关注版本发布，旧版本已知问题会随新版修复。

    框架层已内置、你不用操心的：CSRF 校验（表单 {$csrf}）、XSS 净化（富文本统一入口 saveContent，入库前 purify）、危险 URL 拦截（javascript: 等伪协议）、异常信息不回显。

写回答

该问题已解决，不再接受新的采纳。