网站上线前源码安全检测的 10 项清单

源码能跑起来不等于能上线。很多站一公开就被挂马、被拖库，问题出在上线前没做安全检测。尤其下载来的成品源码，作者水平参差不齐，藏点隐患不稀奇。下面 10 项，上线前逐条过一遍。

一、扫后门与可疑代码

先用安全工具扫一遍源码目录，重点看是否有 eval、base64 解码、外来请求等非常规写法。低价源码藏后门盗数据时有发生，宁可多花半小时扫，别等出事再救。

二、查默认账号与弱口令

后台默认 admin/123456、测试账号没删，是最低级也最高频的漏洞。上线前改强口令、删测试号、关演示入口。

三、验数据库权限

给 Web 用的库账号只给「增删改查」，别给 drop、file 等高危权限。库的权限越大，一旦被注入损失越惨。

四、防 SQL 注入

确认源码对用户输入做了参数化或转义。自己二开时加的查询，最容易漏这步。拿单引号、or 1=1 试一下接口，看会不会异常。

五、防 XSS 与上传漏洞

评论、昵称、富文本这类用户输入处，确认做了过滤。上传功能更要严：限制类型、存到非执行目录、改文件名，避免上传个脚本就被执行。

六、关调试与报错回显

生产环境关 display_errors，报错别把路径、库结构甩给用户看。错误信息是攻击者最爱用的地图。

七、查第三方依赖

源码引入的插件、库有没有已知漏洞？过一遍依赖版本，陈年老组件先升或换。

八、验权限控制

前台能不能直接调后台接口？普通用户能不能越权看别人订单？把关键操作都当「陌生人会乱点」来测。

九、备份与回滚预案

上线前整站备份一次，确认能还原。真出事，有备份比什么安全方案都实在。

十、HTTPS 与基础防护

上证书、开强制跳转，配好防火墙规则，关掉用不到的端口。基础防护挡掉大部分扫描。

十项过完再公开，卓创源码网 的成品源码在上架前也经过基础检测；需要代检测看 卓创源码网搭建服务价格表。

安全排查，加微信 ynzckj6666 或 QQ 3894381266，卓创源码网（zhuochuangyun.cn）提供源码下载、搭建、定制开发与二次开发服务。