上周帮朋友看他的网站个人博客，首页加载了整整八秒。不渗我以为是网站服务器在国外，结果一查，不渗全是网站他自己往页面上堆的东西——三个统计代码、两个客服悬浮窗、不渗一个自动播放的网站背景音乐。最离谱的不渗是，他在页脚塞了一段JS，网站专门用来检测用户有没有装广告拦截插件。不渗

我问他搞这些干嘛。网站他说："我看别人网站都有啊。不渗"

这就是网站问题所在。很多人做网站，不渗不是网站在"做加法"，就是在"做加法"的路上。每加一个功能，就多一条可能被利用的路径。你那个客服悬浮窗，如果用的是某宝上花五十块买的模板代码，里面的接口地址可能早就被人扫出来了，往里面注入点东西，访客的cookie就顺着流出去了。

我见过一个做外贸的独立站，老板为了"优化用户体验"，在产品详情页加了一个"实时询价"功能。代码是从某个论坛扒的，表单提交直接走前端验证。结果呢？有人用脚本批量提交了十几万条垃圾询盘，数据库直接撑爆。更麻烦的是，那个表单的提交接口没有做频率限制，被人拿来当成了免费的短信轰炸接口用。

说白了，网站安全这件事，很多时候不是被"攻破"的，是被"堆破"的。每多一个第三方组件，就多一个未知风险。你根本不知道那个统计代码里有没有夹带私货，也不知道那个字体加载服务会不会哪天突然挂掉或者被劫持。我之前查过一个案例，某网站引用的一个CDN上的jQuery版本被替换成了恶意版本，所有访客的登录凭证都被截获。网站主自己完全不知情，因为他压根没看过那段代码长什么样。

还有一种情况更隐蔽——权限配置。很多人用虚拟主机或者云服务器，默认配置就是"能用就行"。数据库账号用root，密码是123456，远程访问端口对全网开放。我扫过一些IP段，发现大量个人站点的MySQL端口是直接暴露的。有人可能会说，我数据库里又没什么值钱的东西。但你数据库的读写权限被拿到之后，人家可以往你页面里挂马，可以把你的站点变成流量中转站。到时候搜索引擎把你标记为危险网站，哭都来不及。

那怎么办？其实没那么复杂。第一，能不装的东西就别装。你的网站真的需要那个在线客服吗？真的需要那个花哨的页面过渡动画吗？第二，如果非要装，去官方渠道下载，别用破解版，别用"绿色版"。第三，数据库别用root，密码弄复杂点，远程访问能关就关。第四，定期看看服务器日志，那些频繁请求你登录页面的IP，直接封掉。

我自己的博客就三个插件：一个缓存，一个备份，一个防垃圾评论。统计代码用服务商自带的分析工具，不额外加载JS。页面上没有悬浮窗，没有自动播放，没有花里胡哨的东西。加载速度两秒以内，跑了三年没出过安全事故。不是因为我技术多牛，是因为我懒得折腾。

网站不渗透，不是说你的网站固若金汤，而是说别自己给自己挖坑。少装点东西，少开点端口，少用点来路不明的代码。大部分安全事故，源头都是"我觉得这个功能挺酷的"。