做正规网站新手入门：图解步骤教你搞定域名服务器

域名服务器搞不懂，搞不定服务器，网站就上线不了。别急，今天用图解步骤帮你一步步搞明白，从选域名到部署服务器，再到做正规网站的安全防护，手把手带你走一遍。

威胁场景：网站常见的安全威胁有哪些？

做正规网站，安全是第一关。新手最容易忽视的是网站漏洞，导致被攻击、数据泄露甚至被黑。现实中，很多网站被黑不是因为技术太差，而是没做好基础防护。最常见的威胁包括：

SQL 注入：攻击者通过恶意输入注入 SQL 语句，获取数据库内容，甚至删除数据。
XSS 跨站脚本攻击：通过在网页中注入恶意脚本，劫持用户会话、窃取信息。
CSRF 跨站请求伪造：诱导用户在不知情的情况下执行操作，比如转账、修改密码。
目录遍历与文件包含漏洞：攻击者通过路径操纵读取敏感文件，甚至执行任意代码。
未授权访问与权限控制漏洞：未限制用户访问权限，导致后台功能被随意调用。

这些漏洞如果出现在你的网站上，轻则被挂马，重则导致业务瘫痪。

漏洞原理：常见漏洞是怎么产生的？

SQL 注入原理

SQL 注入的本质是用户输入未经过滤或转义，直接拼接到 SQL 查询语句中。例如，用户在登录界面输入：

username: admin' --
password: 123456

这条 SQL 语句会被解析为：

SELECT * FROM users WHERE username = 'admin' --' AND password = '123456'

由于 -- 是 SQL 注释符号，后面的内容被忽略，导致系统自动登录为 admin 用户，跳过密码验证。

XSS 攻击原理

XSS 攻击一般是通过在网页中插入恶意脚本，当其他用户访问页面时，脚本会自动执行。比如在评论区输入：

<script>alert('你被攻击了！');</script>

当其他用户看到这条评论时，会触发弹窗，甚至更严重的是窃取 cookie 或执行恶意代码。

防护方案：如何从代码层面对抗常见漏洞？

防止 SQL 注入：使用预编译语句

不要拼接 SQL 查询语句，使用预编译语句（Prepared Statement）或 ORM 框架（如 Django ORM、Laravel Eloquent）。

错误写法：

$username = $_POST['username'];
$password = $_POST['password'];
$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

正确写法（使用 PDO）：

$username = $_POST['username'];
$password = $_POST['password'];
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

这样可以避免 SQL 注入风险。

防止 XSS 攻击：对用户输入进行过滤与转义

在输出用户输入内容时，使用 htmlspecialchars() 等函数进行转义，防止 HTML 脚本执行。

错误写法：

echo $_POST['comment'];

正确写法：

echo htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');

如果你使用的是 WordPress 或其他 CMS，确保启用内置的转义机制，如 esc_html()。

防止 CSRF 攻击：使用 Token 验证

在表单提交时，生成一个随机 Token 并存储在 Session 中，提交时验证是否一致。

HTML 表单中加入隐藏字段：

<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['token']; ?>">

PHP 验证 Token：

if ($_POST['csrf_token'] !== $_SESSION['token']) {die("CSRF 攻击检测到，请求被拒绝。");
}

如果你使用的是 Laravel，可以通过中间件自动处理 CSRF Token。

检测与修复：如何发现并修复网站漏洞？

使用工具检测漏洞

你可以在本地或服务器部署好网站后，使用以下工具进行扫描：

OWASP ZAP：开源的 Web 应用安全扫描工具，支持自动化扫描与手动测试。
Netsparker：商业工具，支持深度扫描，检测 SQL 注入、XSS、CSRF 等漏洞。
Burp Suite：专业级的 Web 安全测试工具，适合安全人员使用。

以 OWASP ZAP 为例，扫描流程如下：

启动 ZAP，将浏览器代理设置为 ZAP（127.0.0.1:8080）。
在浏览器访问你的网站。
使用 ZAP 的 Spider 模块爬取网站内容。
使用 Scanner 模块进行漏洞扫描。
查看扫描报告，修复高风险问题。

修复 SQL 注入漏洞

修复 SQL 注入漏洞的核心是避免拼接 SQL 语句。如果你使用的是 PHP + MySQL，推荐使用 PDO 或 MySQLi 的预编译语句，而不是 mysql_* 函数。

如果使用的是 Python + Flask，可以使用 SQLAlchemy ORM：

from flask import request
from models import Useruser = User.query.filter_by(username=request.form['username'], password=request.form['password']).first()

这种方式不会直接拼接 SQL 语句，更加安全。

安全加固清单：做正规网站必须完成的步骤

做正规网站，除了代码层面的防护，还要从服务器、配置、权限等多方面入手。以下是必须完成的安全加固清单：

1. 配置服务器防火墙

确保服务器开启了防火墙，并限制不必要的端口开放，比如只开放 80（HTTP）、443（HTTPS）和 22（SSH）端口。

在阿里云官方文档中，有详细说明如何使用安全组配置防火墙规则，可以访问：https://help.aliyun.com/

2. 安装并配置 SSL 证书

使用 HTTPS 是当前正规网站的标配。SSL 证书可以在阿里云、Let’s Encrypt 等平台免费获取。配置 SSL 后，网站会自动跳转 HTTPS，避免数据明文传输。

Nginx 配置 HTTPS 示例：

server {listen 443 ssl;server_name example.com;ssl_certificate /etc/nginx/ssl/example.com.crt;ssl_certificate_key /etc/nginx/ssl/example.com.key;location / {proxy_pass http://localhost:3000;}
}

3. 配置安全头部（HTTP Headers）

在 Nginx 或 Apache 中配置安全头部，增强浏览器和服务器之间的通信安全。

Nginx 配置安全头部示例：

add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;
add_header X-Permitted-Cross-Domain-Policies none;
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com;";

这些头信息可以帮助防止 XSS、点击劫持等攻击。