一台新服务器刚上线，默认配置往往把门敞开着：一堆用不上的端口在监听、root能直接远程登录、普通用户随手就能提权。攻击者扫描全网IP是常态，开放的服务越多，被攻破的概率越高。安全加固不是上线后才想的事，而是开机的第一件事。下面这份清单按“端口—账号—权限”三层来，每一项都能直接照做，做完用最后一节的命令验一遍，确认该关的关了、该锁的锁了。一、端口收敛：只留必须开的先用ss看一眼当前在监听什么。很多