安全加固

99% 的被挂马不是框架漏洞。
是弱密码、目录权限过宽、插件来路不明、备份没做。

# 安全规则：禁止直接访问核心目录
location ^~ /app/    { deny all; }
location ^~ /core/   { deny all; }
location ^~ /config/ { deny all; }
location ^~ /data/   { deny all; }
location ^~ /docs/   { deny all; }
location ^~ /lang/   { deny all; }
location ^~ /tests/  { deny all; }

curl -s -o /dev/null -w "%{http_code}\n" https://你的域名/data/secret.key
# 期望 403 或 404，绝不能是 200

这些规则只管「谁能直接访问文件」。
伪静态是另一回事，在建站第一小时里配。
不要把两者混在一起写。

'admin_path' => 'my-console-9f2',

php aucms cache:rebuild

cp data/secret.key ~/aucms-secret-backup-$(date +%F).key

丢了没有「找回」。
只能换新密钥 + 重新配三方凭证。
所以备份它比备份数据库还优先。

没声明过的模块，默认只有超管能进。
这是「默认拒绝」，不是 bug。
新增插件后台页时记得注册权限点。

$deny = $this->requireSuperAdmin();
if ($deny !== true) {
    return $deny;      // 返回的是 403 响应，不是 false
}

requireSuperAdmin() 返回 true 或 Response，不是 true/false。
写成 if (!$this->requireSuperAdmin()) 会把 Response 当 false，
表现为「点了没反应」。

$db->table('content')->where('id', $id)->where('status', 1)->first();

$db->table('content')
   ->where('title', 'like', '%' . $kw . '%')
   ->get();

$db->query("select * from content where id = " . $_GET['id']);

whereRaw() / select() 里的字符串不经过参数绑定，必须自己保证安全。
config/security.php 里 allow_raw_sql 默认 false —— 保持默认。

$row['content'] = \Aucms\Security::purify($input['content']);
$row['title']   = \Aucms\Security::strip($input['title'], 255);

purify() 会去掉 <script>、<iframe>、on* 属性、javascript: 链接。
正文要嵌视频得改 xss 白名单 —— 改之前想清楚风险。

<form method="post" action="/admin/xxx/save">
  <input type="hidden" name="_token" value="{$csrf}">
  <input type="hidden" name="_form_token" value="{$form_token}">
  ...
</form>

curl -s -o /dev/null -w "%{http_code}\n" https://你的域名/runtime/upload/test.php
# 期望 403

curl -s -A "Mozilla/5.0 (compatible; Baiduspider/2.0)" https://你的域名/ | tail -40
curl -s https://你的域名/ | tail -40

只删木马不改密码 = 没修。
二次入侵大多从旧密码和留着的后门账号进来。

# 访问量异常高的
awk '{print $1}' /www/wwwlogs/站点.log | sort | uniq -c | sort -rn | head -10

# 扫描器（大量 404）
grep " 404 " /www/wwwlogs/站点.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -10

宝塔、SSH、FTP 全部改非默认端口 + IP 白名单。
这三样是服务器被拿下的主入口，比 CMS 本身风险大得多。

php .workbuddy/tools/lint_classes.php
php .workbuddy/tools/lint_methods.php
php .workbuddy/tools/lint_redirects.php