网站被攻击前的轻量防护配置_无需昂贵硬件_预防远胜于事后补救
轻量防护配置讲究性价比和可操作性，不需要复杂的技术架构，通过几个开源工具和基础配置就能搭建起有效的防护体系。整个配置流程分为服务器层、应用层、数据层三个维度，每个维度配置2到3项关键措施，组合起来就能形成不错的防护效果。
系统加固是服务器层防护的另一项重要内容。关闭不必要的系统服务，比如Telnet、FTP（改用SFTP）、Sendmail（如不需要）。删除系统中不需要的用户和组。设置密码复杂度策略，密码长度不少于12位，包含大小写字母、数字和特殊符号。配置系统自动更新安全补丁，但生产环境建议先在测试环境验证再更新，避免补丁导致程序不兼容。
资源限制配置可以防止攻击导致服务器宕机。通过ulimit限制单个进程的最大文件打开数、最大进程数、最大内存使用量。配置Nginx或Apache的连接数限制和请求速率限制，防止CC攻击耗尽服务器资源。对于MySQL，配置最大连接数和慢查询日志，避免SQL注入或复杂查询拖垮数据库。这些配置在正常访问下不会有感知，但在遭受攻击时能保证网站基本可用。
第三项是PHP安全配置（如果使用PHP）。在php.ini中禁用危险函数：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source。设置open_basedir限制PHP只能访问网站目录和临时目录。关闭register_globals、allow_url_include、display_errors。这些配置能大幅降低PHP木马的执行能力和危害。
SSL证书和安全响应头是数据传输层的防护。配置HTTPS，使用Let's Encrypt免费证书，强制HTTP跳转HTTPS。配置安全响应头：X-Frame-Options防止点击劫持，X-Content-Type-Options防止MIME类型嗅探，X-XSS-Protection启用浏览器XSS过滤，Content-Security-Policy限制资源加载来源，Strict-Transport-Security强制HTTPS。这些头信息在Nginx或Apache中添加几行配置即可，不需要修改程序代码。
真实经历：轻量防护配置中最容易被忽略的是备份，有个客户配置了所有防护措施唯独没做异地备份，后来服务器硬盘损坏数据全部丢失，虽然防护做得好但还是栽在了硬件故障上。备份是无论如何都不能省的环节。
成本提示：轻量防护方案中大部分工具都是开源免费的，唯一可能产生费用的是CDN和云存储。CDN可以选择按量付费的基础版，云存储备份数据量通常不大，每月费用在几元到几十元之间，大部分站长都能承担。
更新时间：2026-08-26 23:46:11