漏洞和隐患的区别，别等出事才分清

扫描报告一片绿，不等于网站没事。这话听着别扭，但踩过坑的人都懂——报告只回答”有没有匹配到已知特征”，不回答”你这套东西经不经得起人琢磨”。漏洞隐患区别、别等出事才分清，说的就是这件事：一个是有编号、能复现的口子，一个是还没被人踩到的薄冰。两者看着挨得很近，处置方式却完全不是一回事。

漏洞隐患区别，别等出事才分清

漏洞一般指程序、组件、系统里的一个明确缺陷，能被特定操作触发。注入、越权、上传不校验文件类型、某个开源库的已知问题，都属于这一类。它通常有出处：厂商公告、CVE 或 CNVD 编号、复现步骤，白纸黑字摆在那。隐患没这么正式，它是环境里那些迟早要出事的条件——后台地址写在 robots.txt 里、离职同事的密钥还挂在服务器上、备份包扔在网站根目录、数据库账号给了通配来源。这些严格讲不算漏洞，但离出事只差一个人来试。

分不清会怎样？两种错法都很常见。一种是把隐患当漏洞，看到扫描器报个低危就整宿睡不着，精力全砸在升级一个根本调用不到的组件上；另一种反过来，把漏洞当隐患，觉得”我们小站没人盯”，结果被人拿现成的脚本一晚上刷完。前一种浪费精力，后一种直接停摆。

扫描器能给的，只是一半答案

工具的原理是比对特征加有限探测，它能揪出过期组件、常见配置错误、暴露的敏感路径。查不出来的部分更多：业务逻辑上的越权（甲用户改个参数就看到乙用户的订单）、支付金额前端可改、验证码形同虚设、接口没有频率限制。这类东西只有顺着自己的业务流程走一遍才找得到，任何扫描器都替不了你。

所以别把”扫过了”当成”查过了”。跑完拿到的是一张待办清单，不是结论。低危不等于可以永远不修，高危也不等于今晚就得停机。先看这个点在不在公网、要不要登录、能不能跟别的点串起来用。判断依据以厂商公告和复现说明为准，拿不准就去翻官方页面。

虚拟主机这类共享环境，隐患多在管不到的那半边

用虚拟空间的人常有个错觉：安全是服务商的事。这话只对一半。面板版本、宿主机内核、PHP 的运行版本，确实由服务商统一维护，什么时候升级以他们的公告为准，你催也催不快。另一半却牢牢在自己手里：程序是不是最新版、插件是不是很久没人维护、上传目录有没有执行权限、.git 和压缩包有没有被打进网站根目录。

共享环境还有个特点，别人家的漏洞可能溅到你身上。同一台机器上某个站被传了马，资源被占、IP 被打进黑名单，你的站跟着变慢，甚至被搜索引擎判成风险站点。这属于外部隐患，能做的就是把备份留一份在本地、错误日志开着、重要的东西别全压在一个空间里。

修漏洞讲优先级，治隐患讲习惯

漏洞的处置有先后。不需要登录、匿名就能触发的排最前；得先拿到后台账号才能利用的，可以缓一步，但别拖成”下个版本再说”。已经在外面爆发过一轮的组件问题，基本属于今晚就干，因为利用脚本早就流出来了，扫的人比修的人勤快。

隐患的处置没什么戏剧性，靠的是习惯。装插件前先看维护记录；开数据库账号只给需要的库和来源地址；后台别用默认路径，顺手加上二次验证；换人或者离职，账号先停、密钥先换。单个动作都不起眼，但它们把”能被利用的条件”一条条拆掉了。

一份今晚就能动手的清单

先翻网站根目录，看有没有 .git、.svn、.env、压缩备份包、phpinfo 这类文件，有就删掉或移出站点目录。接着看登录入口是不是默认路径、有没有失败次数限制、管理员密码是不是别处也用过的老密码。然后把程序、主题、插件版本过一遍，维护状态停更很久的直接下掉。

再看文件权限，上传目录和图片目录别给执行权限，配置文件别给最高权限。数据库账号权限收窄，不要图省事拿高权限账号连业务。备份要有，而且得在另一台机器上真恢复一次，只备份不验证约等于没有。日志开着，保留多久自己定，出事那几天它是唯一能还原过程的东西。

“一直没出事”是运气，不是结论

见过太多站，跑了好几年没被动过，于是觉得那些加固动作是浪费。可没出事的原因往往是站太小、不值当，不是防得好。等流量上来、被人注意到，前面省下的活会一次性找回来。这类事也没什么征兆，日志里几条奇怪的请求，几天后变成首页被改。

也别指望一次大扫除就永久干净。程序在更新，插件在换，人在流动，今天清掉的隐患下个月会长出新的。把它当成每季度做一次的动作，比搞一次运动式加固靠谱得多。

漏洞看公告和编号，隐患看自己的配置和习惯；一个是别人告诉你哪里破了，一个得自己去摸哪里薄。漏洞隐患区别弄明白了，别等出事才分清的那份心思才算落地。今晚先把根目录里那几个压缩包挪出去，比收藏十篇加固教程都实在。