资讯网站安全避坑指南：新手站长必须盯紧这几个关键点

资讯网站安全的核心：别把漏洞当小事

很多人做资讯网站，就像开了个社区菜摊，觉得把资讯内容摆得好看、引流来顾客就行，后台那点安全设置，跟菜摊的后门有没有锁一样，根本不当回事。结果真出问题了，被人偷了后台改了首页，甚至把用户信息卖了，才拍大腿喊后悔。

几个最容易中招的安全坑

用户上传内容没把关——相当于留了个敞着的后门

别以为用户传的都是正经新闻图，去年有个做教育资讯的哥们，就是没限制图片上传的格式，有人上传了带恶意脚本的图片，结果点进去的用户都弹了伪装成浏览器的病毒，还偷偷抢了用户的通讯录。一定要给所有上传的文件做格式白名单，只允许jpg、png这种常用格式，别给任何人留口子传奇怪文件。

后台密码用弱密码——等于给家门挂了个纸门牌

我见过太多资讯站的后台，密码都是admin、123456、站长123这种，比菜市场卖的无生产日期的菜还危险。黑产的密码爆破工具，分分钟就能把这种弱密码撞开，进去之后想删文章、挂广告，那简直是随心所欲。别嫌麻烦，每周改一次含字母、数字、符号的复杂密码，必须开二次验证，哪怕你记性差，把密码写在电脑桌面上也行，总比被人改了首页卖假药强。

用户数据明文存储——等于把熟客名单贴在大门口

资讯站后台堆了一堆用户手机号、邮箱，还有注册时的个人信息，很多人觉得只是个备用的小列表，殊不知这是黑产的“刚需货”。之前有个本地资讯站被拖库，十几万用户信息挂在暗网卖，站长不仅赔了几十万用户的信息保护费，还被监管部门约谈，这事儿吧，真的是赔了夫人又折兵。绝对不能用明文存用户密码，要用bcrypt这种不可逆的加密算法，别漏了加密这一步，出事了没人能救你。

有人说，我只是个小资讯站，没人会盯上我——这绝对是扎心真相！去年有个做宠物资讯的小站，说自己站被挂了博彩广告，他还在群里委屈巴巴地问“我站才几万IP，黑产为啥要薅我”，我都笑了，黑产才不管你大小，能蹭一波流量就能赚一笔，就像小菜市场一样，照样有小偷来偷菜，反正好下手。

其实资讯网站安全，说白了就是“把小事盯紧”，不用搞那些高大上的安全设备，把刚才说的几个关键点做好，就不会出大问题。别等出事了才临时抱佛脚，早做准备，早省心。