拿到一套带后台的网站网站源码，第一件事不是源码看功能多炫，而是网站看它的入口藏在哪。多数人以为后台地址是源码admin.php，或者干脆默认路径，网站结果被扫描工具三分钟扒出来，源码后台成了摆设。网站

我见过最离谱的源码案例，是网站某公司花大价钱买的商城源码，后台路径直接写在robots.txt里——等于把保险柜密码贴在门口。源码后来被刷了五百条垃圾订单，网站才慌慌张张改路径。源码这能怪谁？网站源码本身没毛病，坏在使用的源码人不动脑子。

后台这东西，网站本质是个权限管理工具。但很多源码作者为了省事，把权限逻辑写得跟筛子似的。普通管理员能看订单，结果翻两页发现能改价格；改价格就算了，还能上传文件——上传文件就意味着能拿webshell。一套源码值不值钱，就看它的权限边界画得细不细。

前阵子帮朋友排查一套二手商城源码，后台登录框连验证码都没有，密码还是明文存储。登录进去以后，发现“删除用户”和“修改管理员密码”用的是同一个接口，参数一换，直接提权。这哪是后台，分明是后门。朋友还觉得捡了便宜，五十块买的源码，修漏洞花了三千。

带后台的源码，最坑的地方在于“能用”和“敢用”完全是两码事。很多开发者拿到手，先看页面漂不漂亮，功能全不全，没人去翻数据库配置文件里的连接密码是不是默认的。更没人去看install目录删没删——那玩意儿留着，等于告诉全世界可以重装系统。

我自己的习惯是，拿到源码第一周不碰功能，先把目录结构捋一遍。admin目录、api目录、public目录，每个文件夹里有没有不该出现的文件。有个笨办法但很管用：搜一下“eval(”和“base64_decode(”，凡是出现这两个函数的文件，逐个检查上下文。干净源码里不该有这类东西，有就得警惕。

后台源码还有个隐形坑——更新机制。有些源码自带在线升级，升级包下载没做校验，中间人一改，升级变投毒。你要是图省事点了自动更新，等于亲手把服务器钥匙交给别人。所以我现在都手动备份，本地对比代码差异，再决定要不要升。

话说回来，带后台的源码也不是洪水猛兽。关键看你怎么用。把默认路径改了，密码换成二十位随机字符串，关闭不必要的文件上传功能，定期翻审计日志。做到这几点，至少能挡住九成以上的脚本小子。剩下的那成高手，真盯上你了，换什么源码都白搭。

最后说句实在的，买源码前先看后台代码的注释风格。注释写得详细、变量命名有规律的，作者通常靠谱。那种注释全是乱码、变量叫$a1$b2的，再便宜也别碰——这玩意儿要么是拼凑的，要么是故意混淆的，出事概率大得很。

(责任编辑：时尚)