织梦dedecms后台安全设置修改路径_安全注意事项_定期维护流程
dedecms的安全设置需要从多个维度入手：后台安全、目录权限、功能裁剪、数据库安全、模板安全、备份策略。很多站长只做了其中一两项，忽略了其他环节，导致仍然被入侵。本文系统梳理dedecms的安全设置项，按照从易到难的顺序排列，站长可以根据自己的技术能力逐步配置。即使只完成基础项，也能拦截大部分常规攻击。
第二项是后台登录安全设置。登录后台后，进入系统-系统用户管理，修改管理员密码为强密码（12位以上，包含大小写字母、数字和特殊符号）。不要使用admin作为用户名，创建一个新的管理员账户，删除默认的admin账户。在系统-系统基本参数-互动设置中，开启后台登录验证码。在系统-系统日志中，定期查看后台登录日志，发现异常登录及时处理。有条件的话，通过.htaccess限制后台目录只能特定IP访问。
第四项是禁止上传目录执行PHP。这是dedecms防挂马的关键。dedecms的上传目录是uploads，攻击者经常通过上传漏洞在这个目录中上传PHP木马。在uploads目录中创建.htaccess文件，内容为：
第七项是数据库安全。dedecms安装时默认表前缀是dede_，建议修改为其他前缀，如abc_、xyz_，增加SQL注入的难度。如果已经安装完成，可以通过数据库工具修改表名和配置文件中的前缀。使用独立的数据库用户连接dedecms，只授予SELECT、INSERT、UPDATE、DELETE权限，不要授予FILE、SUPER、ALTER、DROP等权限。数据库密码使用强密码，与后台密码不同。定期备份数据库，dedecms后台支持数据库备份功能，建议每周备份一次，备份文件下载到本地保存。
第十项是plus目录安全。dedecms的plus目录包含了很多功能文件，如留言、评论、搜索、RSS等，这个目录是漏洞高发区。建议根据实际需要保留必要的文件，删除不需要的功能文件。常见的需要关注的文件包括：search.php（搜索，可能存在SQL注入）、feedback.php（评论，可能存在XSS和SQL注入）、guestbook.php（留言本，可能存在XSS）、post.php（投稿，可能存在上传漏洞）、download.php（下载，可能存在任意文件下载）。对于保留的文件，定期检查是否有安全更新，及时升级到最新版本。
运维案例：一个客户的dedecms站点被入侵，数据库中所有文章都被植入了黑链。处理时不仅清除了文件层面的木马，还批量清理了数据库中的恶意代码，修改了表前缀和数据库密码，同时将data目录移到了Web根目录之外。后续虽然仍然有扫描和攻击尝试，但都没有成功入侵。
配置提醒：修改dedecms的目录权限和.htaccess配置后，务必测试网站的各项功能是否正常，包括文章发布、图片上传、会员注册、搜索等。特别是uploads目录禁止执行PHP后，确认图片上传和显示功能正常，不要因为安全设置影响网站正常使用。
更新时间：2026-08-27 10:36:11