安全扫描报告里有一行高危：/backup/db-20261001.sql.gz可以匿名下载，响应200，文件大小一点二个G。这个路径在网站根目录下，浏览器直接输入就能存到本地。库里存着三十七万条用户记录和全部订单。备份脚本当初为了省事，mysqldump的输出直接落在网站目录里的backup文件夹，理由是面板里能点着下载，不用再开FTP。目录列表是关着的，访问/backup/返回403。问题在于关