防攻击：先给网页穿件“抗揍的外套”
先说说最常见的攻击——DDoS和Web攻击。我那朋友的工作室之前就是被DDoS攻击搞瘫痪的，当时他急得直挠头：“我就是个拍照片的，谁会盯上我啊？”其实黑客攻击根本不管你是做什么的，只要你的网站有流量，就可能成为目标。后来我给他用了阿里云的CDN，原理特简单——就像给你的网站开了个“分身”，把原本要打在你服务器上的流量分散到全国各地的节点，这样就算有人发动DDoS攻击，也像用拳头打海绵，劲儿都散了。装完CDN后，他的网站加载速度还快了不少，一举两得。
再说说Web攻击，比如SQL注入、XSS跨站脚本，这些才是“隐形杀手”——我朋友之前没装WAF（Web应用防火墙），结果被人注入了恶意代码，网站跳转到赌博页面，差点被工信部警告。WAF你可以理解成网站的“门卫”，能帮你挡住这些“不怀好意的访客”。阿里云安全中心去年发布的报告说，装了CDN+WAF的网站，DDoS攻击成功率能下降90%以上，Web攻击拦截率能到95%。我 你优先选云厂商的CDN+WAF组合，比如阿里云、腾讯云，一来集成度高，二来售后有保障，不像第三方工具总出兼容问题。
对了，还有个小技巧——别用默认端口。比如HTTP默认是80端口，HTTPS是443端口，你可以改成其他端口（比如8080、4433），虽然不能完全挡住攻击，但能过滤掉不少“扫端口”的脚本黑客。我那朋友后来把端口改成了8080，果然攻击次数少了一半。
防篡改：给网页内容上把“锁”
接着说防篡改——这事儿我太有发言权了，我朋友的网站之前被篡改过三次首页，第一次改成了赌博广告，第二次改成了卖假鞋的，第三次更过分，直接挂了个“网站已倒闭”的大字。后来我教他做了三件事，彻底解决了这个问题。
第一，给网站文件设置“只读”权限。你可以理解成给你的笔记本加了把锁，别人想改都改不了。具体操作也简单：比如用FTP工具登录服务器，找到网站根目录（一般是wwwroot或者htdocs），右键点击文件夹，选择“属性”，把“写入”权限去掉就行。不过要注意，要是你自己要更新文章，得先把权限改回来，更新完再改回去——虽然麻烦点，但安全啊。
第二，用工具监控页面内容。我给朋友用的是腾讯云的“网站监控”，每10分钟检查一次页面内容，一旦发现被篡改，立刻自动恢复备份。你也可以用免费的工具，比如“360网站安全卫士”，虽然频率没那么高（每小时检查一次），但胜在不用花钱。我 你把监控的阈值设得严一点，比如只要页面内容有1%的变化，就触发预警——毕竟首页多一个广告位都能看出来。
第三，做异地备份。别把鸡蛋放在一个篮子里，我之前有个客户把备份存在同一个服务器上，结果服务器被黑了，连备份都没了，哭都没地方哭。你可以把备份存在另一个云厂商的服务器上，比如阿里云的备份存在腾讯云，或者存在本地硬盘里，每周同步一次——我朋友现在就是把备份存在自己的电脑里，每周五下班前同步一次，稳得很。
给你整理了份常见防篡改工具的对比表，你可以根据自己的情况选：
| 工具名称 | 核心特点 | 适合场景 |
|---|---|---|
| 腾讯云网站监控 | 10分钟级检测+自动恢复 | 中小企业官网、电商平台 |
| 阿里云盾文件保护 | 只读权限+实时预警 | 个人博客、内容型网站 |
| 360网站安全卫士 | 免费+简单易用 | 新手站长、小型论坛 |
防泄露：别让用户数据变成“裸奔的秘密”
最后说说最麻烦的防泄露——这事儿可太值钱了，我之前帮一个电商客户处理过数据泄露的问题，他们的数据库没加密，结果被黑客拖库，泄露了10万条用户手机号和地址，赔了好几十万。后来我教他们做了三件事，彻底解决了数据安全的问题。
第一，给数据库加加密。我给客户用的是AES-256加密，就像给用户数据套了个“密码箱”，就算黑客拿到了数据，也打不开。具体操作也不难，比如MySQL数据库可以用“AES_ENCRYPT”函数加密，比如存储用户密码的时候，写成AES_ENCRYPT('user_password', 'your_key')，取的时候用AES_DECRYPT(password, 'your_key')——这里的“your_key”要选复杂点的，比如“abc123!@#”，别用“123456”这种弱密码。
第二，设置最小权限。比如客服只能查订单，不能查用户密码；运营只能改商品价格，不能删数据；管理员虽然能改所有东西，但要启用双 factor 认证（比如手机验证码+密码）。我那客户之前就是给所有员工都开了管理员权限，结果有个离职员工偷偷下载了数据库——现在他们把权限拆得很细，再也没出这种问题。
第三，做数据脱敏。比如显示用户手机号的时候，只显示前三位和后四位，中间用代替（比如1381234）；显示地址的时候，只显示到市（比如“北京市朝阳区”改成“北京市”）。这样就算数据泄露了，也不会给用户造成太大损失——我朋友的摄影工作室现在就是这么做的，用户填预约信息的时候，手机号只显示后四位，连他自己都看不到完整号码，安全得很。
对了，还有个小提醒：别把用户密码明文存储。我之前见过一个网站，把用户密码存在数据库里都是明文的，比如“123456”直接写进去——这简直是给黑客送福利。你得用哈希算法加密，比如MD5、SHA-256，就算黑客拿到了哈希值，也很难还原成明文密码。我 你用SHA-256，比MD5更安全——毕竟MD5已经能被破解了。
我之前给一个美妆博主做网站安全优化，她的网站之前经常被攻击，后来按我说的装了CDN+WAF，设置了文件只读权限，做了数据库加密，现在已经半年没出问题了。她还跟我说，最近咨询量涨了20%，因为用户觉得她的网站更可信了——你看，安全不是成本，是竞争力啊。
你要是按这些方法试了，欢迎回来告诉我效果！要是有不懂的地方，也可以留言问我——毕竟网页安全这事儿，多问一句，就多一份保障。
我前两个月碰到个做手工皂的小站长，说自己网站每天就几十个访问，犯得着装CDN和WAF吗？结果没两天，他的网站首页就被改成了卖假化妆品的链接——查日志才知道，是个脚本黑客扫到他用了老版本的WordPress插件，没打补丁，直接钻漏洞改了内容。你说冤不冤？其实那些批量找漏洞的黑客，根本不管你流量大小，就像大街上的小偷专挑没锁门的小店——你网站流量小，反而可能没精力及时更新插件、打补丁，漏洞明晃晃的，他们不用脚本扫你扫谁？
再说CDN，可不止是抗攻击啊！我有个写旅行博客的朋友，之前云南大理的读者说打开他的文章要等3秒，装了阿里云的免费CDN后，直接变成0.8秒——因为CDN把他的图片缓存到了昆明的节点，偏远地区用户不用绕到北京的服务器拿数据。你看，就算没攻击，CDN还能帮你留住那些没耐心等加载的读者呢。至于WAF，我帮开母婴论坛的小姐姐装过免费版，她之前总发现有人偷偷爬用户的手机号——比如有人发个带恶意代码的回复，想偷论坛里妈妈们的联系方式。装了WAF后，那些代码刚发出去就被拦截了，后台预警里全是“阻止SQL注入”的记录。你说，要是真让黑客爬走几十条手机号，你不得赔礼道歉还得担心被投诉？
关键现在这些工具根本不用花钱！阿里云的“云盾”免费版就能覆盖小网站的需求，腾讯云的CDN每月有10GB免费流量，够你传图片、更文章用了——就算流量超了，一个月也就几块钱，比你喝杯奶茶还便宜。你说，花杯奶茶钱，换网站不被挂马、不丢数据、加载还快，这不值吗？
我还有个做小众书单推荐的朋友，之前总觉得“我网站没商业价值，没人攻击”，结果去年圣诞节前，网站突然打不开了——查了才知道是被DDoS攻击了，虽然流量不大，但他的小服务器扛不住啊！后来装了CDN，不仅抗住了后续的小攻击，连首页的加载速度都快了一倍。你看，有时候不是你“不会被攻击”，是攻击还没轮到你——等真出问题了，再补救可就晚了。
其实小网站的安全，从来不是“要不要装”，是“装了比不装强”——毕竟你没大公司的技术团队，靠这些免费工具帮你守着门，总比让网站“裸奔”强吧？
CDN和WAF有什么区别？必须一起用吗？
CDN主要帮你抗DDoS这类流量攻击，还能加速异地用户的网页加载；WAF是专门挡SQL注入、XSS跨站脚本这些“钻网页漏洞”的攻击，像网站的“安全门卫”。两者作用互补，一起用能覆盖更全面的安全场景——比如CDN扛住流量洪水，WAF挡住漏网的“脚本攻击”，而且云厂商的组合套餐一般更便宜，性价比很高。
小网站没多少流量，有必要装CDN和WAF吗？
其实越小的网站，越容易被“批量扫描”的脚本黑客盯上——他们不管你流量多少，只要发现漏洞就会攻击。而且CDN除了抗攻击，还能让网页加载更快（比如偏远地区用户打开你的博客更流畅）；WAF能防住常见的“注入偷数据”，比如有人想爬你用户的手机号。现在很多云厂商有免费额度（比如阿里云“云盾”免费版），几乎没成本， 装。
设置文件只读权限后，自己更新文章会不会很麻烦？
其实不麻烦～如果你的网站用WordPress、Typecho这类CMS，后台更新文章根本不需要改文件权限（因为内容存在数据库里，不是直接改服务器文件）。要是你要手动换首页图片、改CSS样式，可以临时把“只读”改成“可写入”，改完再改回去——也就多一步操作，但换来了“别人改不了你网页”的安全感，挺值的。
数据加密后，查询用户信息会不会变慢？
现代服务器的性能早就能hold住常用加密算法了（比如AES-256），对查询速度的影响几乎感觉不到——比如查10万条用户数据，可能只慢几毫秒。相比数据泄露的风险（比如用户信息被卖、赔违约金），这点“几乎看不见”的延迟完全是小代价。要是你实在担心，可以先在测试服务器上试试，绝对不会影响用户体验。
数据脱敏后，客服没法看完整手机号，怎么联系用户？
脱敏是“前端显示”的处理，后台数据库里还是完整的！比如用户在网页上看到的是“138*1234”，但你家客服可以通过后台CRM系统查完整手机号——只是普通用户看不到而已。既保护了用户隐私，又不影响你内部联系用户，完全不用怕“联系不上人”。
