PHP網站安全怎麼做？如果你正在使用 CDNQY 這類 PHP 版 CDN 系統，不能只看首頁是否正常、按鈕能不能操作，真正需要留意的是登入機制、檔案上傳、API 權限，以及伺服器本身是否暴露了不必要的資訊。很多網站不是被高深漏洞攻破，而是因為測試檔、弱密碼或過期套件長期留在正式環境，最後成了攻擊者的入口。
PHP網站安全的基本防線
PHP 版本應該維持在仍有安全更新的分支，並定期檢查 Composer 套件與框架漏洞。若系統使用第三方 CDN 管理模組，建議先在測試站升級，不要直接覆蓋正式檔案；升級前也要備份資料庫、設定檔和使用者上傳目錄。這個步驟看似保守，實際上能避免更新失敗後整個網站無法恢復。
登入功能則不應只依賴簡單帳號密碼。管理後台至少要使用密碼雜湊、登入失敗限制、Session 逾時及雙重驗證。密碼不能以明文儲存在資料庫，PHP 應使用 password_hash() 與 password_verify()，而不是自行設計一套容易出錯的加密方式。
特別注意檔案上傳與 CDN 快取
CDN 系統通常會處理快取、節點或網站檔案，檔案上傳功能因此格外敏感。上傳圖片時，不要只檢查副檔名，例如把 shell.php 改成 .jpg 並不能算是安全驗證。伺服器端應檢查 MIME 類型、檔案內容、大小限制，並將上傳檔案放在無法直接執行 PHP 的目錄。
快取規則也不能一套套用到底。登入頁、會員資料、訂單資訊和後台 API 通常不應被公共快取，否則可能出現使用者甲看到使用者乙資料的嚴重問題。曾有不少網站只是因為快取標頭設定錯誤，便把帶有個人資訊的頁面暫存在 CDN 節點，這比單純網站速度變慢更危險。
伺服器設定與日誌不能忽略
正式環境應關閉 display_errors，避免資料庫帳號、檔案路徑或程式堆疊直接顯示給訪客；同時設定安全的 HTTP 標頭，例如 Content-Security-Policy、X-Frame-Options 和 HttpOnly Cookie。Nginx 或 Apache 也應限制 .env、備份檔、Git 目錄及設定檔的公開存取。
最後，安全不是安裝一次防火牆就結束。建議每天檢查登入失敗紀錄、異常流量和檔案變更，至少每月做一次弱點掃描。對 PHP 網站而言，能不能快速發現異常、快速還原備份，往往和「完全不被攻擊」一樣重要。
評論（8）
原來檔案上傳只驗副檔名真的不夠，這個細節很容易被忽略
登入失敗限制和雙重驗證應該是後台的基本配備了
快取規則如果設錯，速度變快反而可能變成資料外洩，這點很值得留意
想請問上傳目錄設定成不能執行 PHP，實務上通常會怎麼配置？
每次升級前先備份這個習慣很重要，尤其是有自訂模組的網站
.env 和備份檔暴露在網路上，往往比想像中更危險
安全維護不只是裝防火牆，日誌和異常檔案變更也要有人持續看
如果網站規模不大，弱點掃描和日誌檢查有哪些工具比較適合入門？