去年冬天，网站一个做跨境电商的漏洞朋友半夜给我打电话，声音都变了。多办他的网站独立站被注入了一段恶意脚本，用户结账时跳转到钓鱼页面，漏洞三天跑了四十多单，多办客户投诉堆了一屏。网站他问我：“我装了WAF，漏洞也买了SSL，多办怎么还能被搞？网站”我让他把服务器日志发过来，翻到凌晨两点，漏洞发现问题出在一个两年前就没更新过的多办WordPress插件上——一个用来显示访客计数的小工具，代码里赫然躺着一个未过滤的网站SQL查询参数。攻击者根本没用啥高级手段，漏洞就是多办拿扫描器批量跑了一遍，他的站恰好没打补丁。

这种事我见得太多了。网站漏洞多，多数时候不是技术团队水平差，而是“没人管”的地方太多。一个中型企业站，前端后端加一起可能跑着几十个第三方组件，每个组件都是一个潜在入口。你盯着主站代码写得再严谨，一个过时的jQuery版本就能让人从XSS绕进来。更别提那些外包做的功能模块，交付之后源码往服务器一扔，连个版本记录都没有。

我自己的博客曾经被挂过马，手法很土：通过一个文件上传接口传了个PHP shell。那个接口是早年做图片上传用的，后来功能废弃了，代码没删。攻击者找到它，试了试，直接拿到服务器权限。清理花了一整天，但真正让我后怕的是——我根本不知道这个接口还在。这就是漏洞多的核心原因之一：资产不清。你不知道自己有什么，就谈不上保护什么。

那怎么办？别急着买那些花里胡哨的安全产品。先做三件事，成本低，见效快。

第一，把所有对外暴露的东西列出来。域名、子域名、IP、端口、API端点、第三方组件版本，拿个Excel表，一行一行填。我见过一个团队用Nmap扫了自己的网段，发现测试环境居然开着数据库的3306端口，密码还是弱口令。这种问题，扫描器五分钟就能发现，但没人去做。

第二，建立更新机制。不是“有空就更新”，而是定死周期。CMS核心、插件、框架、依赖库，每周检查一次。用Dependabot或者Renovate这类工具自动提PR，合并前跑一遍自动化测试。我现在的做法是：生产环境只跑经过验证的稳定版，但每两周强制评估一次安全更新，紧急漏洞24小时内处理。听起来麻烦，但比被拖库之后连夜改代码轻松多了。

第三，输入输出全部当成敌人。用户提交的任何东西——URL参数、表单字段、HTTP头、文件内容——都不信任。参数化查询、输出编码、文件上传白名单，这些老生常谈的东西，偏偏是绝大多数漏洞的根源。我审过的一个系统，搜索框直接把用户输入拼进SQL，连引号都没转义。开发说“内部系统没人攻击”，结果爬虫扫到，整个库被拖走。

还有一点容易被忽略：日志和监控。很多站被打了都不知道，等发现时数据早没了。至少把Web访问日志、错误日志、数据库慢查询日志收集起来，设几个告警规则。比如同一IP短时间内大量404、POST请求异常增长、非业务时间的数据库导出操作。我朋友那个站，如果早点监控到结账页面的异常跳转，也不至于跑三天。

说到底，网站安全不是买一个“银弹”产品就能解决的。它更像打扫房间——你得知道东西放在哪，定期扔垃圾，门窗坏了及时修。漏洞多，往往是因为没人认真打扫。找个靠谱的人，把资产理清楚，把更新流程跑起来，把基础防护做扎实，八成以上的自动化攻击就能挡在外面。剩下的，再考虑上WAF、做渗透测试、买保险。顺序别搞反了。