拿到一套像「AI綜合站」這樣的全功能源碼，很多人裝好就急著上線，卻忽略了一個關鍵問題：源碼本身的安全。我見過太多站長栽在這上面，程式功能再漂亮，一旦被人鑽了漏洞，資料外洩、後台被接管，前面的努力全白費。尤其這類帶安裝向導、支援微信／支付寶／USDT 收款的系統，涉及金流與用戶投稿，安全這關真的馬虎不得。
安裝階段最容易被忽略的坑
原文的安裝教程其實已經埋了一個很重要的提醒——裝完要刪掉 /install/ 目錄並恢復 Nginx 攔截。這點千萬別偷懶。曾經有統計指出，相當比例的 PHP 網站入侵，源頭就是暴露在外的安裝目錄或殘留的測試檔。安裝向導生成 config.php 之後，裡面躺著資料庫帳密，若目錄權限沒設好，等於把鑰匙掛在門口。
建議安裝完成後立刻做三件事：
- 刪除
install目錄，別只是改名 - 把
config.php權限設為 644，目錄設 755，禁止 Web 寫入敏感設定 - 確認偽靜態規則沒有把
.php原始路徑直接暴露
伪静态與入口防護
原文那串 Nginx rewrite 規則寫得挺完整，但光有 rewrite 還不夠。真正要防的是別人繞過偽靜態、直接訪問 prompt.php?id= 這類入口做 SQL 注入或參數爆破。所以後端的 PDO 預處理（原文要求 PDO_MYSQL 擴充，這點做對了）一定要全程用參數綁定，別用字串拼接 SQL，這是老生常談卻最常被忽略的一條。
日常維護才是真功夫
源碼安全不是裝好就一勞永逸的事。後台既然內建了「操作日誌」和「資料備份」，就該真的用起來。定期備份、異地保存，萬一真被打了還能快速還原。PHP 版本也盡量跟上原文建議的 8.0+，舊版本的已知漏洞往往是攻擊者的首選。
說到底，開源程式方便歸方便，但它的安全上限取決於站長自己。你願意花多少心思把這些細節補齊，網站就能撐多久。
評論（9）
install目錄真的超多人忘記刪 栽過一次就記住了
config.php權限這塊之前完全沒注意 回去馬上改
拼接SQL那段太真實了 多少站就死在這
想問下異地備份一般都放哪比較穩啊
支援USDT收款的站 金流安全更要上心吧
備份這事我也是被打過才學乖的😮💨
PHP還卡在7.x的舉手 看來得升級了
偽靜態繞過直接打入口這招防不勝防
操作日誌平常根本沒人看 出事才想起來