上个月某电商平台被拖库，网站600万条用户数据挂在暗网论斤卖。防护事后复盘，措施攻击入口居然是网站一个没打补丁的旧版Apache组件——漏洞公开快两年了，运维愣是防护没管。这不是措施技术问题，是网站态度问题。

网站防护这件事，防护说白了就三层：挡外面、措施防里面、网站留后路。防护但九成中小网站连第一层都没做扎实。措施

先说最基础的网站WAF（Web应用防火墙）。别迷信云厂商送的防护免费版，那玩意只拦最蠢的措施扫描器。真正的攻击者会模拟正常请求，比如把SQL注入语句拆成几段，用编码绕过去年就公开的规则。我见过某政府网站被植入挖矿脚本，WAF日志里干干净净——因为人家用的是HTTPS加密流量，WAF默认不检查。

第二层是服务器本身。很多人觉得装了宝塔面板就安全了，结果面板漏洞一出，全线裸奔。正经做法是：SSH改用密钥登录、禁root、改默认端口——这三步能挡掉80%的暴力破解。还有PHP版本，别老守着5.6当传家宝，7.4以上才修复了那个能远程执行代码的漏洞。上个月帮朋友排查被黑站点，一看phpinfo，好家伙，5.3.29，比我家狗年纪都大。

第三层最容易被忽略：备份。不是让你手动打包下载，是自动+异地+版本化。我见过最惨的案例，某创业公司数据库被勒索病毒加密，备份文件放在同一台服务器的/backup目录——黑客顺手一起加密了。真正的备份应该推送到对象存储，保留7天增量+4周全量。恢复演练每季度做一次，别等真出事才发现备份文件损坏。

还有几个细节值得单独拎出来说。后台登录地址别用/admin这种默认路径，改成一串无意义字母数字，能少挨很多扫描。验证码别用那种四则运算——现在打码平台50块钱能解一万次，上行为验证码靠谱些。还有，所有上传接口必须检查文件头，别信后缀名，一个改成.jpg的PHP一句话木马，能把整个站打成筛子。

说到人，比技术更致命的是懒。密码复用是重灾区，某公司财务的邮箱密码和WiFi密码一样，撞库撞出来之后，黑客进企业微信拉了个假老板群，骗走80万。这套路老，但管用。定期改密码？不存在的。强制上MFA（多因素认证）比什么都强，哪怕用短信验证码，也能挡住大多数远程登录攻击。

最后说句实话：没有绝对的安全。云厂商的DDoS高防包年几十万，小站买不起就老老实实套CDN隐藏源站IP。代码层面，每次上线前用免费工具扫一遍SQL注入和XSS，比事后请安全公司做渗透测试便宜十倍。你要真在乎数据，就把修复漏洞的优先级排在新功能前面——毕竟业务挂了能重启，数据没了就真没了。