网站安全

网站安全里最容易被忽略的一环就是账号本身。账号自查是啥？把登录记录、成员列表、第三方授权和绑定通知挨个过一遍，看有没有多出来的东西，这篇讲清它到底查哪几项。

文件传上去了不等于安全。二次上传漏洞往往藏在同名覆盖、缩略图生成、解压导入这些环节，一次挑不出毛病的上传，就能把脚本带进站里。下面按几个真实场景说清它怎么发生、又该怎么堵。

XSS注入漏洞真正出事的位置常在输出环节，把输入框过滤一遍只是心理安慰。按上下文编码、富文本白名单、后台渲染、HttpOnly与CSP几条线说清先查哪、哪些只是拖延。

账号泄露查询的免费入口能告诉你邮箱在不在名单里，付费报告则补上来源、时效和可执行的处置。两边的差别到底在哪，以及查到之后先动哪一步。

暗链网址这东西，用户看不见、你也未必能发现。它多半藏在模板、数据库或JS文件里，清理时别只删链接，先堵住进来的那扇门。

隐私政策合规最容易翻车的不是条文，而是几处看不见的边角：Cookie 分类、第三方嵌入、表单留存口径。这3处写漏，模板抄得再全也补不上。

上传漏洞修复最怕的不是不会补，是漏入口：旧编辑器脚本、前台头像、导入解压、FTP 和面板文件管理器，这五个地方最容易被忘在脑后。

扫描器给的分数只能当参考。做网页安全检测，真正值得盯的其实是三个指标：外部可见面的变化、可复现的风险路径、修完之后的复查闭环。这三样比一个总分更能说明站点当下的真实状态。

蜘蛛查询最容易让人犯迷糊：同一篇文章，站长后台、服务器日志、第三方工具给出的抓取时间能差好几天。先弄明白每个入口各自在看什么，比反复刷工具管用。

泛目录是什么？说白了就是用程序批量铺页面、内容靠模板拼出来的站群手法。认出它不用工具，看URL、读正文、翻站点地图三处就能露馅，这篇把特征和自查顺序讲清。