网站备份，3个位置漏一个等于白做

硬盘坏了才想起备份的人，十个里有九个打开目录一看，最新那份是三个月前的。剩下那一个运气好点，备份是上周的，但文件躺在网站根目录里，随便一个扫描器就能把它拖走。网站备份3个位置漏一个等于白做，这话我说过很多遍，不是吓人，是每次帮人收拾残局最后都绕回同一个结论——你备了几份不重要，重要的是这几份是不是真的分开了。

网站备份3个位置漏一个等于白做，指的就是这三处

先把“位置”这个词掰开。很多人理解的位置是文件夹，D盘一份、E盘一份，看着挺全。按故障域算，这俩是同一个位置。真出事的时候——主板烧了、机器被下架、机房断电——你D盘E盘一起没。我说的三个位置是：跑网站的那台机器本身、跟它不同供电不同网络不同物理风险的另一个地方、以及不归你亲手管的那种存储（对象存储、云盘、托管商给的备份空间）。三个位置各自会以不同方式失效，这才叫分开。

顺序上也有讲究。本机那份是为了快，改坏了十分钟能滚回去；异地那份是为了扛大灾，机房没了它还在；云端那份是为了懒，脚本自动推，人不用记。三份都想要，别想着一次到位，先把自己手上那台机器保住，再往外扩。

本地那份，最常见的死法是跟原件一起没

见过太多把 tar 包直接写进 /www/wwwroot 下面的。省事，一个脚本搞定，问题是这个目录是能被公网访问的，备份包里连数据库密码一起打包，等于把钥匙挂门把手上。还有人把备份和网站放在同一块盘，甚至同一个分区，盘一满，网站先挂，备份也写不进去，等到想恢复才发现最近的包是半个月前的。

本机备份我一般让放在网站目录外，比如 /var/backups 或者单独挂一块盘，权限给到只有 root 能读。定时任务错开业务高峰，跑完记一条日志。tar 包最好带上日期和类型，别都用 backup.tar.gz 一个名字互相覆盖——覆盖式备份是这行里最坑人的设计，看着每天在跑，其实只剩最后一次。

异地不是买块移动硬盘塞抽屉

抽屉里的硬盘算不算异地？勉强算，前提是它真的离开了那台机器。可大多数人的操作是拷完顺手放桌上，跟服务器隔了两米，机房进水一起泡。异地的最低要求是：不同的电、不同的网、不同的物理风险。同城另一台机器、另一个机房的托管空间、对象存储的另一个地域，都行。

异地那份不用太勤，也别指望它做日常回滚。数据库一周一次、全站文件一月一次，配合人工或者 rsync 推过去，够用了。真要抠细节，推之前先在本地打个包、算一下大小，别传一半断了还以为成功。传输日志留一份，下次出事能知道哪个时间点是有货的。

云端那份，别都塞进同一家同一个地域

用了对象存储不等于有了异地备份。bucket 建在同一个地域、同一个账号下，账号欠费被清、密钥泄露被批量删、生命周期规则写错把旧版本全过期掉，哪一样都能把这份抹干净。跨账号、跨地域放一份，成本高一点，心安不少。云厂商自己的快照也算一份，但那玩意儿跟平台绑着，平台出问题你也没脾气，具体保留策略以服务商控制台和官方页面说明为准。

还有个细节：密钥别跟备份放一起。备份脚本里硬编码 AK/SK，脚本放在网站目录，被读走之后对方能直接把你 bucket 清空。这一步翻车的人不少。

备份能不能用，得真恢复一次才算数

没恢复过的备份只能叫“可能存在的备份”。数据库导出这块最容易出问题：字符集不对、表锁没加导致数据不一致、视图和触发器漏掉。恢复演练别在生产机上做，开个临时目录或者临时站点，把包解开、库导进去、改一下配置文件里的域名和数据库连接，用匿名窗口打开看看首页和后台能不能进。

顺手检查几样东西：文件权限对不对，图片有没有丢，伪静态规则在不在，上传目录能不能写。走完这一圈，你才知道那份包到底是救命稻草还是心理安慰。频率上，一个季度认真来一次就够了，别等真出事才第一次解压。

频率和保留版本，比“每天备份”这四个字重要

数据库是天天变的，文件是偶尔变的，两者没必要一个频率。数据库一天一次甚至更勤，图片、模板、插件这些一周一次问题不大。保留几个版本也得想清楚：只留最新一份，改错了或者被加密了，你连个干净的回滚点都没有。滚动保留七天或者三十天，具体看磁盘和预算，量力而行。

另外别忽略日志和小文件。访问日志、错误日志，出事时排查入侵来源全靠它，很多人备份网站顺手把日志排除掉，等要查的时候一片空白。

真出事那一小时，先别急着恢复

第一件事是停掉定时备份任务。不然脚本还在跑，新的坏数据会把唯一干净的包覆盖掉。第二件事是把现有的备份以只读方式拷一份出来，放到别的机器上，任何操作都对着副本做。第三件事是确认入侵来源——如果站是被挂马或者被勒索加密的，漏洞不补，恢复完几小时内再来一次，这种返工我见过不止一次。

之后才是挑时间点、解包、导库、切流量。整个过程里手别抖，宁可多花两小时确认，也别在生产机上直接覆盖。

最后给个能照着做的清单：备份文件不放网站目录、权限收紧；至少一份离开这台机器，最好跨地域跨账号；保留多个版本，别互相覆盖；一个季度真恢复一次，匿名窗口验一遍；出事第一动作是停任务、拷副本、查来源。三处位置凑齐不难，难的是每隔几个月回头看一眼它们还在不在、还能不能解开。