开源项目登录；3个坑埋在默认配置

装完就能跑，往往就是麻烦的起点。镜像拉下来，容器起来，浏览器敲个端口进去，一个登录框弹出来，用户名 admin、密码 admin，两下就进后台了。爽是真爽，顺手截个屏发到群里问“这界面行不行”。问题是，开源项目登录这一整条链路，从这一刻起就有好几处默认值替你做了决定，而且大部分决定都不太妙。

开源项目登录，第一个坑就埋在初始口令

README 里那句“部署到生产环境前请修改默认管理员账号”，基本等同于一封没人拆的信。脚手架给的 admin/admin、demo/demo、test/test，装的时候图快，装完就忘了。更麻烦的是有些项目在初始化 SQL 里插了一个种子用户，密码哈希写死，每次重新初始化都会跑一遍——你把后台那个账号删了，重启一次它又回来了。所以第一步要做的不是改密码，是先去翻种子脚本在哪，把它关掉或清干净，再谈改密码，顺序反了就是白忙。

还有个更隐蔽的：密码改了，账号没删。多角色系统里通常还躺着 test、demo、operator 这类示例账号，权限照着管理员抄的。谁能想到登录页背后的用户表里有五六个“人”？定期把用户表导出来看一眼，比装什么插件都好使。

配置文件里那串示例密钥，主动改的人真不多

.env.example 复制成 .env，这一步谁都会。但里面的 SECRET_KEY、APP_KEY、JWT_SECRET 还是 change_me、your_secret、base64:后面跟一串示例值，就没人动了。这些值在开源仓库里躺着，全世界都能看到。拿到它的人不用猜你的密码，自己签一个 token 就能过后端校验——登录这关等于被绕过去。类似的地方还有 application.yml、config/database.php，测试库的账号口令直接硬编码在里面，代码一推到公开仓库，库和人都一起送出去了。

查起来不费劲，在项目根目录跑一条 grep -rn change_me . ，把 your_secret、example、test 也换着搜一遍，能翻出不少东西。翻出来别急着改，先确认这个值管的是签名、加密还是别的，改错了会话全掉线、老数据解不开，这种事也发生过。文档看不懂就去翻项目官方说明，别照抄某篇来路不明的笔记。

调试开关，和那几个默认敞开的口子

APP_DEBUG=true 这类开关，开发时是救命稻草，上线就是自曝家门。异常页面把堆栈、绝对路径、执行的 SQL 全吐出来，有心人看一眼就知道你用的什么框架、什么版本、目录怎么摆。还有一排默认就开着的小门：开放的 /register、找回密码的重置链接、默认关闭的验证码、没有失败次数限制的登录接口、允许所有来源的跨域。登录页只是门面，门面后面那几扇侧门才是真入口。

见过一种情况，撞库脚本拿几百个常见弱口令挨个试，日志里一片 401，谁也不看日志，等真有人登进去了才发现。加一条失败锁定、把验证码打开、把注册接口按需关掉，成本其实很低，就是没人愿意在上线前多花那二十分钟。

Cookie 和会话，默认值是能省就省

会话 Cookie 默认没加 HttpOnly，也没加 Secure，SameSite 给个 None，浏览器里用脚本就能读走。会话文件落在默认目录，同一台机器上跑几个站、共用同一个 PHP 池，配置一马虎还可能互相串。真要较真，HttpOnly、Secure、SameSite 三个都配上，会话目录单独指出去，域名之间隔开——这些在配置文件里都是几行的事。

还有个经常被忽略的连带问题：站点放在反向代理或 CDN 后面，没配信任的转发头，程序取到的客户端 IP 全是 127.0.0.1。登录失败次数限制形同虚设，日志里几百条记录全是同一个地址，排查的时候一脸懵。

多环境串了，这类事故最让人后怕

从测试机拷一份 .env 到生产，图省事；或者反过来，本地调试连的是生产库。改密码改在测试库上，生产纹丝没动，第二天还在群里说“我明明改过了”。也有把测试用的弱口令账号一起带上去的。这种事听着像笑话，笑完背后有点凉。

办法笨但有效：配置文件按环境分开，生产那份不进代码仓库，上线前用一条命令确认当前连的是哪个库、哪个 Redis。多花三十秒，省掉一晚上。

上线前我自己的检查单

初始账号是否清掉、种子脚本是否停用；SECRET_KEY、APP_KEY、JWT_SECRET 是不是全换成随机值；调试开关是否关闭；注册、找回密码、上传接口是否按需开启；验证码和登录失败锁定是否打开；Cookie 的 HttpOnly、Secure、SameSite 是否齐全；会话目录和过期时间是否合理；反向代理的转发头是否配了；最后确认一遍连的是不是生产库。

这份单子不长，但开源项目登录这条链路上出事的地方，十有八九能在里面找到对应项。逐条勾比装个“一键安全加固”插件实在，插件能改的东西有限，改不动你的种子脚本，也改不动你从测试机拷过来的那份配置。

默认值不是改一次就完事

容器重建、卷没挂对、升级后模板覆盖，默认配置都有可能回来。有人改完就再也没看过，几个月后换了台机器重新部署，admin/admin 又回来了。所以配置尽量走版本管理和挂载，别塞在镜像里；升级前看一眼 release notes 里有没有默认行为的变化，拿不准就以项目官方文档为准。

还有个小习惯值得养成：任何后台第一次进去，先别急着点功能，去设置页把账号、密钥、调试开关过一遍。花十分钟，后面能省很多事。

真要说建议，就一句：上线前那一个小时，别去美化界面，去翻配置文件。默认值本身不是错，错在它一直没被改过。