网站防护

去年秋天，网站防护一个做独立博客的网站防护朋友给我发来截图——他的网站首页被替换成了一张黑底红字的图片，上面写着“你的网站防护数据已加密，支付0.5个比特币解锁”。网站防护他那个站每天也就几百访问量，网站防护内容全是网站防护自己写的读书笔记，居然也能被盯上。网站防护攻击者没用什么高深手段，网站防护就是网站防护扫到了他服务器上没改的默认后台路径，密码还是网站防护“admin123”。这事让我意识到，网站防护网站防护跟规模无关，网站防护只跟疏忽有关。网站防护

很多人以为防护就是网站防护装个防火墙。实际上，网站防护大部分入侵发生在应用层，而不是网络层。防火墙能挡住端口扫描，但挡不住一个精心构造的SQL注入语句。我见过一个电商站，WAF配得严严实实，结果商品搜索框没做参数化查询，攻击者用UNION SELECT直接把用户表拖走了。防护得从代码写起，而不是从买设备开始。

说到代码，输入验证是底线。别信任何来自客户端的数据——表单、URL参数、Cookie、HTTP头，统统不可信。有个做在线问卷的朋友，后台用eval()处理用户提交的“公式”，结果被人塞了系统命令。他后来跟我说：“我以为只有程序员才会用这个功能。”攻击者也是程序员，而且比你更懂你的代码。

密码存储是另一个重灾区。现在还在用MD5存密码的站，基本等于裸奔。彩虹表一查一个准。bcrypt或者argon2才是正经选择，加盐、慢哈希，让暴力破解的成本高到不值得。我见过一个论坛，数据库泄露后，八成用户的密码在几秒内被还原——因为用的是无盐SHA1。用户密码复用是常态，你泄露的不只是自己站的数据。

HTTPS不是可选项。Let's Encrypt免费证书申请只要几分钟，自动续期也不难。但光有HTTPS不够，还得配HSTS，不然降级攻击照样能截走会话Cookie。有个做在线教育的站，登录页是HTTPS，但内页图片走HTTP，结果会话ID在图片请求里明文传输，被人抓包重放。细节漏一个，全盘皆输。

文件上传功能是另一个坑。别信Content-Type，别信扩展名，甚至别信文件头——攻击者可以把PHP代码藏在图片的EXIF里，再配合本地文件包含漏洞执行。最稳的做法：上传目录禁止执行脚本，文件重命名成随机字符串，存到Web根目录之外。我见过一个相册站，上传的“图片”实际是.php文件，访问直接拿shell。站长说：“我限制了只能传jpg啊。”他限制的是前端JS，改个包就绕过了。

日志和监控不是事后才看的。实时告警能救命。比如短时间内大量404，可能是目录扫描；同一IP频繁登录失败，可能是撞库。有个做SaaS的朋友，凌晨三点收到告警——某个API端点请求量突增百倍。他爬起来一看，是有人在试他的优惠券接口，想遍历兑换码。因为发现得早，损失为零。防护不是砌墙，是装摄像头加巡逻。

最后说个反直觉的：别自己造轮子。身份认证用OAuth 2.0或者OpenID Connect，加密用 libsodium，会话管理用成熟框架。你觉得自己写的“轻量级”方案更可控，但攻击者研究的是主流库的漏洞，你那个没人审过的代码，漏洞只会更隐蔽。我见过一个站，自己实现了JWT验证，结果忘了校验alg字段，攻击者把算法改成none，直接伪造管理员令牌。标准库不会犯这种错，因为踩过坑的人已经帮你填了。

网站防护没有一劳永逸。今天安全的配置，明天可能因为新漏洞变得脆弱。定期更新依赖、扫描漏洞、备份数据、演练恢复流程。那个被勒索的朋友，最后靠三周前的备份恢复了数据，但丢了半个月的评论。他说：“备份不是万能的，但没备份是万万不能的。”这话糙，理不糙。