做网站的朋友别错过！敏感信息防护五个高频实操干货

第一雷！直接存纯文本密码

这事儿吧，真的是新手老手都可能犯懒踩的坑。之前帮人改个小论坛，后台一查用户表，全是明明白白的123456、生日手机号，差点没把我冷汗吓出来。

别再用这种裸奔式的存储了，相当于把用户家门钥匙直接挂在小区公告栏上。要想安全，至少得用加盐哈希加密，懂点技术的可以用bcrypt，不懂的话，找个成熟的CMS（内容管理系统），比如WordPress、Typecho，它们自带的加密功能都够用，别自己瞎写算法，大概率还不如现成的稳。

第二雷！公开泄露调试和管理路径

你有没有发现，很多人建站初期会开调试模式？或者直接把phpMyAdmin、后台入口放在默认的/admin、/phpmyadmin路径下？

这简直是给黑客递梯子。调试模式一旦开着，网站报错会直接显示数据库账号密码的片段、文件路径，分分钟被扫到漏洞利用。管理路径也别懒，改成自己能记住但别人猜不到的，比如把后台改成/wo_de_xiao_mi_mi_123这种带符号加专属词的，phpMyAdmin可以直接隐藏目录名，或者加个HTTP基本认证，多一层屏障总是好的。

加HTTP基本认证的小步骤（Apache为例）

要是你用的是虚拟主机或者云服务器的Apache环境，试试这个操作：

• 在网站根目录外建个存放密码的文件夹，别让别人通过URL访问到
• 用htpasswd命令生成用户名和加密后的密码，不懂命令的也可以找在线htpasswd生成器
• 在需要保护的目录（比如隐藏后的后台）里建个.htaccess文件，写入几行规则指向刚才的密码文件

```apache AuthType Basic AuthName "Restricted Area" AuthUserFile /path/to/your/password/folder/.htpasswd Require valid-user ```

第三雷！乱装插件不更新

扎心真相来了：90%以上的中小型网站被黑，都是因为装了盗版插件、过期插件或者来路不明的第三方工具。

插件就像你手机上的APP，好用但也要挑正规渠道下载，比如WordPress的官方插件库，别去百度随便搜个破解版就往上装，说不定里面早就被埋了木马。还有，更新提醒别总忽略，官方更新很多都是在补漏洞，别嫌麻烦，每周花个5分钟检查一下，总比网站被挂黑链、删数据强。

第四雷！用户提交的内容不做过滤

很多留言板、评论区、表单提交功能，新手建站时直接就用了，根本没做任何过滤。

这可太危险了，黑客随便填个带SQL注入、XSS跨站脚本的内容，就能直接搞垮你的数据库或者劫持用户的浏览器。懂技术的自己写个白名单过滤，只允许用户提交汉字、数字、常用标点；不懂的还是用成熟CMS的内置功能，它们都已经做好了基础防护，能挡住大部分小黑客的攻击。

第五雷！不做定期备份

很多人都觉得“我网站这么小，没人会盯上”，结果真被黑了删了数据，哭都没地方哭。

别抱侥幸心理，定期备份是最后一道救命稻草。备份频率不用太高，个人博客每周一次就行，要是是电商或者资讯类每天更的，每天凌晨自动备份一次。备份还要存到三个地方：网站本地一份、云服务器快照一份、自己的电脑或者U盘一份，别把鸡蛋都放在同一个篮子里。