网站设置

去年帮朋友迁移一个日访问量不到两千的网站设置小型电商站，光是网站设置设置项就改了三天。他原来的网站设置配置里，图片上传目录权限是网站设置777，数据库账号用的网站设置是root，后台登录地址还是网站设置默认的/wp-admin。我问他为什么这样，网站设置他说建站教程里就这么写的网站设置。这件事让我意识到，网站设置很多人把网站设置当成填空题，网站设置而不是网站设置需要根据实际情况调整的系统工程。

网站设置的网站设置第一层是服务器环境。操作系统选什么，网站设置Web服务器用Nginx还是网站设置Apache，PHP版本跑7.4还是网站设置8.2，这些选择直接决定后面能做什么、不能做什么。我自己的博客跑在一台2核4G的轻量服务器上，Nginx配了FastCGI缓存，PHP开了OPcache，数据库单独做了慢查询日志。听起来有点折腾，但页面响应时间从原来的800毫秒压到了200毫秒以内。数字不大，体验差别很明显。

域名和SSL是绕不开的。现在浏览器对HTTP站点的态度越来越不客气，地址栏直接标“不安全”。Let's Encrypt的证书申请已经简化到一条命令，自动续期也能用cron搞定。我见过有人为了省事买了三年期的付费证书，结果服务器迁移时忘了导出私钥，白白浪费。设置这东西，方便和可控往往要权衡。

后台入口和权限管理是最容易被忽视的部分。默认的登录地址、默认的管理员用户名、默认的数据库前缀，这三个“默认”凑在一起，等于给扫描器留了门。我习惯把登录地址改成随机字符串，管理员账号不用admin，数据库前缀建站时就改掉。这些操作花不了十分钟，但能挡掉大部分自动化攻击。有个做外贸的朋友不听劝，站点上线两个月被注入，商品数据全被清空，恢复备份又发现备份文件也在同一个目录里。教训很直接。

性能设置需要看数据说话。缓存插件装了三四个，CSS和JS压缩到一行，图片全部转WebP，这些操作不是越多越好。我见过一个站点装了缓存插件又开了CDN的全站缓存，结果后台更新文章前台半小时不显示，编辑以为网站坏了。后来把CDN缓存规则改成只缓存静态资源，问题消失。设置的本质是理解每个选项在做什么，而不是把开关全打开。

安全设置里，文件权限和目录访问控制是基本功。上传目录不给执行权限，配置文件不给写权限，敏感目录禁止外部访问。这些规则写在Nginx配置里就几行，但能堵住很多常见漏洞。我习惯在站点根目录放一个空的index.php，防止目录列表泄露文件结构。小动作，但有用。

备份设置是最没有技术含量却最不能省的一环。数据库每天凌晨导出，保留最近七天，文件每周全量备份，存到另一台机器或者对象存储。我自己的做法是数据库备份脚本跑完发一封邮件到专用邮箱，标题带日期和文件大小。有次脚本因为磁盘满没跑成功，邮件没来，我第二天早上就发现了。设置不只是配好就完事，还得有反馈机制。

网站设置没有标准答案。一个企业展示站和个人博客的配置思路完全不同，日访问量一百和十万的站点关注点也不一样。关键是知道自己要什么，知道每个选项背后的代价。改完设置后刷新页面，看看有没有报错，翻翻日志，确认改动生效。这些动作比看一百篇教程都有用。