去年秋天，网站一个做外贸的保密朋友给我打电话，语气不太对。检查他说公司网站被境外IP爬了整整三天，网站后台日志里全是保密异常请求。更糟的检查是，产品报价单被完整抓走，网站竞争对手隔周就出了几乎一样的保密报价。他问我：“网站又不是检查银行，有什么好泄密的网站？”

这想法挺普遍。很多人觉得保密检查是保密大机构的事，小网站没什么可查的检查。但实际情况是网站，网站泄密往往不是保密因为被黑客攻破，而是检查自己把不该放的东西放出去了。

先看文件，再看代码

我帮那朋友做检查时，第一件事不是扫漏洞，而是让他把网站根目录的文件列表导出来。结果一眼就看到 backup_20230815.zip 躺在那里，里面是整站源码和数据库配置。这种备份文件是爬虫的重点目标，搜索引擎甚至可能直接收录。还有一个 test.php，打开就是 phpinfo() 输出，服务器路径、PHP版本、已装模块全暴露。

文件层面的问题通常比代码漏洞更致命。检查时重点看这几类：备份文件（.zip、.tar.gz、.sql）、编辑器残留（.swp、.bak）、日志文件（access.log、error.log）、配置文件（config.php、.env）。这些文件要么删掉，要么挪到Web根目录之外。别指望 robots.txt 能挡住——那东西只是君子协定。

目录列表和错误信息

有些服务器默认开着目录索引。访问一个没有默认首页的目录，会直接列出所有文件。我见过一个企业站，/uploads/ 目录下能看到所有客户上传的合同扫描件，文件名就是“XX公司采购合同2024.pdf”。这不用任何技术手段，浏览器打开就能看。

错误信息也是泄密渠道。PHP报错时如果开了 display_errors，会把数据库连接字符串、文件路径全打印在页面上。攻击者故意构造错误请求，就能拿到这些信息。生产环境必须关掉错误显示，只记日志。

前端代码里的“暗门”

前端源码里经常藏着注释掉的接口地址、测试账号、内部IP。我见过一个后台管理系统的JS文件里，注释写着 // 测试账号admin/123456，上线前删。上线后没人删。还有人把API密钥直接写在JS里，虽然做了混淆，但稍微格式化一下就能读出来。

检查时用浏览器开发者工具看Sources面板，把所有JS文件过一遍。搜索关键词：password、token、secret、key、admin、test。找到的敏感信息要么挪到后端，要么用环境变量。

HTTP响应头和第三方服务

响应头里的 Server 字段会暴露Web服务器类型和版本。如果版本老旧，攻击者可以直接找对应漏洞。用Nginx的话，server_tokens off; 就能隐藏版本号。

第三方服务也是盲区。网站嵌了统计代码、客服系统、CDN，这些外部脚本能拿到页面上的所有数据。如果客服系统被入侵，访客在表单里填的手机号、邮箱就全泄露了。检查时列清楚所有外部资源，没用的删掉，必要的加上 integrity 属性做完整性校验。

实际怎么查

不用买昂贵工具。浏览器加命令行就能完成大部分检查。文件层面用 find 命令搜敏感扩展名，目录列表用 curl 逐个访问测试，前端代码用开发者工具翻。再装个 dirsearch 跑一遍常见路径，看看有没有意外暴露的目录。

频率上，至少每季度做一次。网站改版、换服务器、加新功能之后必须查。我那个朋友后来把备份文件清了，关了目录索引，改了后台路径。上个月他说又有爬虫来，但这次什么也没拿到。

网站保密检查不是一劳永逸的事。它更像出门前检查有没有关煤气——花不了几分钟，但不做可能出大事。