织梦dedecms防SQL注入设置_禁止执行PHP脚本_完整安全配置教程_2024整理
很多使用dedecms的站长都有过被挂马的经历：首页被篡改、被植入黑链、被跳转赌博色情网站、被植入webshell。dedecms被入侵的原因通常不是单一漏洞，而是多个安全隐患的叠加：版本过旧存在已知漏洞、后台路径默认被暴力破解、上传目录未限制PHP执行、管理员弱密码、plus目录下的测试文件未删除。做好全面的安全设置，能大幅降低被入侵的风险。
第四项是禁止上传目录执行PHP。这是dedecms防挂马的关键。dedecms的上传目录是uploads，攻击者经常通过上传漏洞在这个目录中上传PHP木马。在uploads目录中创建.htaccess文件，内容为：
第一项安全设置是修改后台路径。dedecms默认后台路径是/dede，这是众所周知的，攻击者会直接扫描这个路径进行暴力破解。修改方法：将dede目录重命名为一个不容易猜到的名称，如myadmin_2024、manage_xyz等。重命名后，登录后台时使用新的路径。注意不要使用admin、manage、backend等常见词汇，也不要在网站的任何页面中链接到后台地址。修改后台路径是最简单也最有效的安全措施之一。
第五项是删除不必要的文件和目录。dedecms安装包中包含一些测试文件和示例文件，这些文件可能存在安全风险，安装完成后应该删除。需要删除的包括：install目录（安装目录，安装后必须删除）、dede目录下的test_*.php文件、plus目录下的一些不常用功能文件（如guestbook.php、post.php、feedback.php如果不需要留言功能）、member目录如果不需要会员功能可以整个删除或限制访问。删除前确认这些功能确实不需要，避免影响网站正常运行。
第九项是会员系统安全。如果dedecms开启了会员功能，需要进行以下安全设置：在系统-会员设置中，开启会员注册验证码，防止注册机批量注册。设置会员注册需要邮箱验证，过滤虚假邮箱。限制会员每天发布文章的数量，防止垃圾内容。审核会员发布的内容，不要直接发布。检查会员上传的头像和附件，确保没有恶意文件。如果不需要会员功能，建议直接关闭会员系统，删除member目录或限制访问。很多dedecms被入侵是通过会员系统的上传漏洞实现的。
真实经历：dedecms官方停止维护后，我一直担心安全问题，花了一个月时间将网站迁移到了WordPress。迁移过程中需要处理URL重定向、数据转换、模板适配等问题，虽然麻烦但长期来看更安心。如果dedecms站点比较重要，建议尽早规划迁移，不要等出了安全问题才临时处理。
安全提示：dedecms已经停止官方维护，不会再有新的安全更新，这意味着未来发现的新漏洞不会被修复。对于重要的商业网站，建议制定迁移计划，逐步迁移到 actively 维护的CMS。迁移前加强WAF防护和入侵检测，降低被入侵的风险。
更新时间：2026-08-26 21:21:40
上一篇：Windows修改文件创建时间修改时间不用第三方工具也行｜电子书文件时间整理原生Windows 7下zip文件时间戳调整