“我的站没被攻击过，搞安全是不是多余？”这是站长圈最常见的想法，也是最容易栽跟头的一个。网站安全防护没被攻击过就不用做，这个判断建立在两个错觉上：一是以为没人盯你，二是以为出事再补来得及。真相是扫描和入侵天天在发生，而有些防护项一旦出事再补，损失已经造成、补不回来。
一、为什么“没被攻击过”是错觉
只要站点对外，就处在自动化扫描的火力范围内。攻击工具 7×24 小时扫全网，碰到弱口令、已知漏洞就自动尝试，根本不管你站大站小。很多入侵是“静默”的：拖库、挂隐蔽后门、在页面插暗链，你前台看着正常，流量却悄悄被导走、数据已经被搬走。等你发现“被攻击了”，往往已经晚了——排名掉了、用户数据泄露了、信誉标记了。所以“没被攻击”只是“还没发现被攻击”，不是“安全”。
二、几项晚了来不及的防护
有几件事必须在出事前做，出了事再补没用。第一，备份。被勒索、被清空后，没有可用备份就只能从头再来，而备份要异地、要能恢复。第二，权限收敛。等被挂马才想起来收紧目录和函数权限，后门已经写进去了。第三，HTTPS 全站覆盖。证书过期或没上 HTTPS，用户数据在传输中被截获，事后补不了。第四，WAF 或安全规则。等被注入才加，数据已经被拖。第五，密钥与密码轮换。账号泄露后靠轮换才能切断攻击者持续进入的通道。第六，日志留存。不出事不存日志，出事后毫无追溯依据。这些的共同点是：它们的价值在“事前”，事后做只能止损、不能挽回。
三、最低成本起步，不花一分钱
防护不等于烧钱，下面这些免费动作先做了：把弱口令全改成随机长密码、给后台开两步验证；SSH 改密钥登录并换端口；关掉不用的端口和服务；把程序和依赖升到最新；上传目录禁执行、危险函数关掉；加一份定时异地备份。这些基本不花钱，却挡掉了八成以上的自动化攻击。别等“被攻击一次”才想起做，那时候花的钱和精力是现在的几倍。
四、把防护变成例行，而不是一次性
防护最忌“搞一次就忘”。建议排成例行：每周看一次备份是否新鲜可用，每月查一次端口开放和依赖更新，每季度审一次权限和日志。下面这段帮你确认备份没过期：把 BACKUP_DIR 改成你的备份目录、MAX_AGE_DAYS 设成你能接受的最大间隔，跑完会告诉你备份是否正常；一旦超期就告警，逼自己真的去备份。
# 检查备份是否按时存在且不过期，避免"以为有备份、出事才发现没用"
import os, time
BACKUP_DIR = "/backup/example.com" # 改成你的备份目录
MAX_AGE_DAYS = 7 # 超过 7 天没新备份就告警
try:
files = [os.path.join(BACKUP_DIR, f) for f in os.listdir(BACKUP_DIR)]
except OSError:
print("告警：备份目录不存在")
raise SystemExit
if not files:
print("告警：没有任何备份文件")
else:
newest = max(os.path.getmtime(f) for f in files)
age = (time.time() - newest) / 86400
if age > MAX_AGE_DAYS:
print("告警：最新备份已 %.1f 天未更新，超过 %d 天阈值" % (age, MAX_AGE_DAYS))
else:
print("备份正常：最新备份为 %.1f 天前" % age)防护这件事，性价比最高的是“在没出事时做”。把上面几项排进日常，站点被攻破的概率和出事后的损失都会小得多。等真的被攻击过一次，你就不想再赌“不会被盯上”了——但那时很多东西已经补不回来。
相关阅读：
申请创业报道，分享创业好点子。点击此处，共同探讨创业新机遇！
