苹果CMS系统安全防护全解：从配置到代码加固的实操指南

一、服务器PHP底层环境安全配置

苹果CMS基于PHP开发，PHP环境的安全性是系统的第一道防线。我们需要通过修改php.ini文件来禁用高危函数，防止恶意代码执行。

找到服务器上的php.ini文件（通常位于/etc/php.ini或/usr/local/php/etc/php.ini），使用编辑器打开，找到disable_functions配置项。如果不存在则手动添加。为了防止后门或Webshell执行系统命令，必须将以下函数列入禁用名单：

```ini disable_functions = exec,shell_exec,passthru,system,chroot,scandir,chgrp,chown,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,passthru,stream_socket_server,putenv ```

操作注意：修改完成后必须重启PHP-FPM服务才能生效，执行命令service php-fpm restart或systemctl restart php-fpm。

隐藏PHP版本号以减少信息泄露。在php.ini中设置：

```ini expose_php = Off ```

同时，限制PHP脚本只能访问网站目录，防止跨站攻击。在php.ini或网站对应的.user.ini中配置：

```ini open_basedir = /www/wwwroot/你的网站目录/:/tmp/ ```

二、Nginx/Apache Web服务器安全规则

Web服务器层面的配置主要防止目录遍历和敏感文件泄露。以下是针对Nginx的详细配置，请将其添加到网站对应的.conf配置文件的server块中。

1. 禁止访问隐藏文件

防止黑客访问.git、.env或.htaccess等敏感文件。

```nginx location ~ /\. { deny all; } ```

2. 禁止特定目录执行PHP

苹果CMS的上传目录（通常是uploads或static）如果被上传了Webshell，禁止该目录执行PHP可直接阻断攻击。

```nginx location ~ ^/(uploads|static|templets)/.\.(php|php5)$ { deny all; } ```

3. 禁止访问敏感目录

直接禁止访问苹果CMS的核心应用目录和运行时目录。

```nginx location ~ ^/(application|runtime|database|install)/ { deny all; } ```

4. 限制请求方法

只允许GET和POST请求，屏蔽其他可能被利用的HTTP方法。

```nginx if ($request_method !~ ^(GET|POST)$ ) { return 403; } ```

配置完成后，执行nginx -t测试语法，无误后执行nginx -s reload重载配置。

三、数据库权限与连接安全加固

数据库是CMS的核心，切勿使用Root账号连接数据库。我们需要创建一个权限受限的专用数据库用户。

1. 创建受限用户

登录MySQL管理终端，执行以下SQL命令。请将maccms_db替换为你的数据库名，maccms_user替换为自定义用户名，StrongPassword123!替换为强密码。

```sql CREATE USER 'maccms_user'@'localhost' IDENTIFIED BY 'StrongPassword123!'; GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, ALTER, DROP, INDEX ON `maccms_db`. TO 'maccms_user'@'localhost'; FLUSH PRIVILEGES; ```

2. 修改CMS配置文件

打开苹果CMS根目录下的application/database.php文件，将数据库用户名和密码更新为上述创建的受限账号。

```php return [ 'type' => 'mysql', 'hostname' => '127.0.0.1', 'database' => 'maccms_db', 'username' => 'maccms_user', 'password' => 'StrongPassword123!', 'hostport' => '3306', 'charset' => 'utf8', // ...其他配置保持不变 ]; ```

3. 修改数据表前缀

默认的mac_前缀容易被SQL注入工具猜解。在安装时或安装后通过工具修改为随机前缀，例如mac_x9k2_，并在配置文件中同步修改prefix参数。

四、文件系统权限与目录结构优化

不正确的文件权限是系统被篡改的主要原因。请严格按照以下标准设置Linux文件权限。

1. 设置所有者和组

假设Web服务器用户是www，在网站根目录执行：

```bash chown -R www:www /www/wwwroot/你的网站目录 ```

2. 设置目录权限

所有目录设置为755，确保所有者可读写执行，组和其他用户只能读和执行。

```bash find /www/wwwroot/你的网站目录 -type d -exec chmod 755 {} \; ```

3. 设置文件权限

所有文件设置为644，确保所有者可读写，其他人只读。特别要注意，application目录下的配置文件如果是写入操作较少，建议设置为444（只读），防止被在线篡改。

```bash find /www/wwwroot/你的网站目录 -type f -exec chmod 644 {} \; ```

4. 锁定核心配置文件

对于application/database.php和application/route.php等核心配置，在配置好环境后，使用chattr命令锁定，防止任何用户（包括Root）修改或删除。

```bash chattr +i /www/wwwroot/你的网站目录/application/database.php ```

如需修改配置，需先执行chattr -i解锁。

五、苹果CMS应用层代码级防护

针对CMS本身的逻辑漏洞，我们需要进行代码层面的微调。

1. 删除安装入口文件

安装完成后，立即删除根目录下的install.php或install目录，防止被重装攻击。

```bash rm -rf /www/wwwroot/你的网站目录/install.php rm -rf /www/wwwroot/你的网站目录/install ```

2. 修改后台入口路径

默认后台地址/admin.php是攻击重点。直接重命名该文件即可有效防护。

```bash mv /www/wwwroot/你的网站目录/admin.php /www/wwwroot/你的网站目录/myadmin2024.php ```

修改后，需要同步打开application/route.php，检查是否有硬编码的路由定义，确保新路径能正常访问。建议配合Nginx的auth_basic模块为后台增加一层HTTP Basic认证，双重保险。

3. 开启XSS过滤

在public/index.php入口文件的最上方，添加全局输入过滤代码，拦截常见的XSS恶意字符。

```php // 简单的XSS字符拦截 if (isset($_GET) || isset($_POST)) { $pattern = '/4. 关闭前台会员中心

如果仅作为视频站使用且不需要用户注册投稿，建议在苹果CMS后台“系统”->“会员配置”中关闭会员中心，或直接删除member.php，彻底杜绝SQL注入风险点。

六、自动化备份与HTTPS强制跳转

建立数据恢复机制和传输加密。

1. 数据库自动备份脚本

创建一个Shell脚本backup.sh，写入以下内容：

```bash !/bin/bash 配置信息 DB_USER="maccms_user" DB_PASS="StrongPassword123!" DB_NAME="maccms_db" BACKUP_DIR="/www/backup" DATE=$(date +%Y%m%d_%H%M%S) 备份命令 mysqldump -u$DB_USER -p$DB_PASS $DB_NAME | gzip > $BACKUP_DIR/$DB_NAME_$DATE.sql.gz 删除7天前的备份 find $BACKUP_DIR -name ".sql.gz" -mtime +7 -exec rm -f {} \; ```

赋予执行权限chmod +x backup.sh，并添加到Crontab中每天凌晨执行：0 0 /www/backup.sh。

2. 强制HTTPS跳转

在Nginx配置中添加SSL证书后，强制所有HTTP请求跳转HTTPS，防止中间人攻击窃取Cookie。

```nginx if ($scheme = http) { return 301 https://$host$request_uri; } ```