你是不是刚用帝国CMS搭了个网站？开心不到一周，就收到服务器的漏洞预警？或者朋友的站被挂了黑链，找运维花了800才修好？别慌，帝国CMS的坑其实都有解法，今天这篇教程全是能直接照做的干货，帮你把网站的安全门焊死。
一、改默认配置：把“公开入口”藏起来
帝国CMS有好多默认的“漏洞靶子”，全是新手容易忽略的。
1. 修改后台登录路径
帝国默认后台路径是/e/admin，用扫描工具一搜就找到，你要这么改：
- 进帝国后台，点「系统设置」→「后台管理路径设置」
- 把默认的admin改成难猜的名字，比如my_secure_2024_abc
- 一定要记好新路径，不然下次进不去哭都来不及
举个例子：我上个月帮一个博主改了这个，之前他的站3天被扫2次，改了之后3个月没再被碰过。
2. 删干净所有测试数据
帝国自带的演示文章、测试管理员账号，是黑客的“铺路石”：
- 去「内容管理」删所有演示文章、图片
- 去「系统设置」→「管理员管理」，删掉默认的admin账号
- 新建管理员账号，名字别用admin，用比如web_manage_01
避坑提醒：别直接改admin密码，一定要删了新建，旧版本里admin有隐藏权限。
3. 改数据库表前缀
帝国默认表前缀是phome_，黑客容易猜出来爆破：
- 进phpMyAdmin，找到你的帝国数据库
- 把phome_开头的表，统一改成比如cms_开头的
- 改完去帝国后台更新配置，不然会打不开网站
二、文件权限：别给黑客留“写后门”的机会
好多人图方便给777权限，这等于把家门钥匙扔给别人。
1. 核心文件设成只读权限
帝国核心文件不能被篡改，只能读不能写：
- 用FTP工具连到网站根目录
- 找到/e/class/、/e/action/这些文件夹，权限设755
- 里面的文件设644，绝对别给777，上传目录也最多755
说白了：777权限就是任何人都能改文件，你的网站就成了别人的U盘。
2. 关上传目录的PHP执行权限
上传目录是藏后门的重灾区，别让它能运行PHP：
- 虚拟主机用户：去「网站管理」→「目录权限」，关upload目录的“执行权限”
- 服务器用户：在Nginx配置里加一行：
```
location /upload {
add_header Content-Type text/plain;
}
```
- 这样上传的PHP文件，只能当文本显示，黑代码就废了
3. 关掉PHP危险函数
eval、system这些函数，是黑客写后门的工具，必须封：
- 找到php.ini文件，打开找到disable_functions那一行
- 后面加上eval,system,passthru,exec
- 改完重启PHP，生效后后门就写不进去了
三、插件与更新：别让“旧漏洞”坑死你
帝国CMS的漏洞，80%来自第三方插件和没更的核心。
1. 只装官方插件
第三方小网站的插件，很多藏了后门：
- 帝国官方插件中心的插件，是经过测试的
- 别搜“帝国采集插件”“帝国破解插件”，90%有问题
- 装完插件，搜一遍有没有eval字符，可疑代码直接删
2. 定期更新核心和补丁
帝国每周或每月更漏洞补丁，别嫌麻烦：
- 每周进帝国后台，看「系统设置」→「系统更新」有没有提示
- 如果有官方漏洞补丁，赶紧打，别等被扫了再弄
- 举个例子：去年帝国修了个SQL注入漏洞，晚更一天就有1000多个站中招
3. 删掉不用的插件和模板
没用的插件、模板，是多余的漏洞门：
- 去「插件管理」，把不用的插件卸载删除
- 去「模板管理」，删掉旧的测试模板
- 哪怕留着也别启用，占内存还留隐患
今天就做三件事：改后台路径、删测试数据、设核心文件权限。别等网站挂了再花大价钱修，现在动手5分钟就能搞定，帮你的帝国CMS站把安全门关紧。
