EyouCMS源码安全优化：可直接落地的实操技术指南

一、核心目录权限加固

1.1 服务器目录权限配置

EyouCMS的敏感目录（data、config、runtime）默认权限过高，易被恶意读取，仅支持Linux服务器执行以下命令（Windows服务器右键设置对应目录权限为仅所有者可写、用户组只读、其他无权限）：

``` 替换为您的网站实际根目录路径 cd /path/to/your/eyoucms 统一设置所有目录权限为755 find . -type d -exec chmod 755 {} \; 统一设置所有文件权限为644 find . -type f -exec chmod 644 {} \; 单独加固敏感目录权限为750（仅所有者可读可写，用户组不可访问） chmod 750 data config runtime ```

注意：以上命令需用SSH工具登录服务器后执行，务必替换为您的实际根目录路径。

1.2 禁止目录列表泄露

若网站根目录或子目录无index.php文件，会被恶意程序遍历所有文件，需添加规则禁止目录列表：

如果是Apache服务器，在网站根目录新建名为.htaccess的文件，内容为：

``` Options -Indexes ```

如果是Nginx服务器，在您的网站server块配置中添加：

``` location / { autoindex off; } ```

修改Nginx配置后需执行nginx -s reload重载配置生效。

二、核心配置文件安全加固

2.1 数据库配置文件隐藏

EyouCMS的config/database.php包含数据库账号密码，直接暴露易被攻击，需2步操作：

• 在config目录下新建.htaccess文件，内容为：
  ``` deny from all ```
• 将config/database.php重命名为无规则文件名（如db_secure_2024.php），再修改application/config.php中的数据库配置路径为新文件名

必须同步修改application/config.php的数据库配置项，否则网站无法连接数据库。

2.2 后台入口修改

默认后台路径/eyoucms/admin.php极易被暴力扫描，按需修改：

• 可登录EyouCMS后台：进入「系统设置」→「后台入口」，填写仅字母数字的新路径，保存即可
• 无法登录后台：找到application/config.php，修改admin_entry配置项为新路径，例如：
  ``` 'admin_entry' => 'my_secret_2024', ``` 再将根目录下的admin.php重命名为my_secret_2024.php

修改后务必测试新后台路径，确认正常后删除原admin.php文件。

三、代码层安全配置

3.1 关闭错误信息显示

EyouCMS默认会在页面泄露详细错误信息（含网站路径、代码结构），需修改application/config.php的配置项：

``` return [ // 生产环境必须设为false 'display_error' => false, // 完全关闭PHP错误报告 'error_reporting' => 0, // 原有其他配置项保留不变 ]; ```

3.2 PHP安全设置加固

修改php.ini文件，关闭危险配置项，禁止远程文件访问：

``` ; 编辑php.ini后重启Web服务 allow_url_fopen = Off allow_url_include = Off ```

修改php.ini后需执行service nginx restart或service httpd restart重启Web服务生效。

四、日常安全补全操作

4.1 定时清理敏感日志

EyouCMS运行时会在runtime/logs生成大量访问、SQL日志，每周清理可减少敏感信息泄露，Linux服务器添加定时任务：

``` 执行crontab -e命令，添加以下内容（每周一凌晨2点清理日志） 0 2 0 rm -rf /path/to/your/eyoucms/runtime/logs/ ```

替换命令中的路径为您的网站实际根目录。

以上所有操作均基于EyouCMS原生代码，无需额外插件，看完即可直接落地执行，无任何冗余步骤。