Discuz论坛安全加固实战指南：全面防护攻击，守护社区数据安全

52JinY 助手

最近论坛里有好几个站长私信我，说自己的Discuz站子被人挂马了，或者后台登录莫名出现异常，问我有没有加固经验。其实我自己踩过不少坑，今天就把这几年积累的一些实战经验整理出来，希望对还没重视安全问题的站长有点帮助。

先说一个最基础但被忽略率最高的问题——默认路径不改。很多人装完Discuz之后，后台地址还是 /admin.php，这个路径地球人都知道，脚本扫描器三秒钟就能找到。建议第一时间把后台入口文件改个名，比如改成一串无规律的字符，再配合服务器层的IP白名单限制访问，双重防护效果好很多。光靠应用层的密码是不够的，暴力破解工具跑起来你根本不知道。

数据库这块也要认真对待。安装的时候很多人图省事，数据库前缀就用默认的 pre_，这其实是给SQL注入攻击提供了便利。虽然现在Discuz官方版本已经对SQL注入做了不少修补，但默认前缀配合一些老旧插件，依然存在风险。建议安装时就改掉前缀，老站也可以通过工具批量替换，稍微麻烦点但值得做。另外数据库账号权限要最小化，运行论坛的数据库用户只给SELECT、INSERT、UPDATE、DELETE权限就够了，绝对不要用root账号跑业务。

插件和模板是最大的安全黑洞，这一点我说几遍都不嫌多。论坛里很多站长喜欢去一些来路不明的地方下载免费插件，这些东西里面藏后门的比例真的高得吓人。我见过有人下了个"万能SEO插件"，结果三天后站子就被人全控了。原则很简单：插件只从官方市场或者有口碑的开发者处获取，下载后最好自己过一遍代码，至少搜索一下有没有 eval、base64_decode 这类常见的混淆函数。模板同理，有些美化模板里嵌了隐藏链接或者暗链代码，不但影响SEO，严重的还会成为跳板站。

文件权限配置是另一个容易被忽视的细节。很多站长为了省事，直接把整个论坛目录设成777，这等于把门全打开了。正常情况下，静态文件目录给644，需要写入的目录如 data、uc_server/data 给755就够了，config目录下的配置文件建议设成444只读。Web服务器运行用户也不要用root，单独建一个低权限账号跑服务。

定期备份这件事说起来简单，但真到出事的时候你会发现，没备份和没裤子差不多。建议设置每日自动备份，备份文件放到论坛服务器之外的地方，比如对象存储或者另一台机器。本地备份的风险在于，如果服务器被黑，备份文件一样可能被删或被加密。

最后说一下日志监控。很多站长完全不看日志，其实服务器的access log里藏着大量有价值的信息，比如异常的请求路径、高频的登录失败记录、陌生IP的大批量爬取行为。有条件的话装个简单的入侵检测工具，或者用云WAF，能过滤掉相当一部分自动化攻击流量。

安全这件事没有一劳永逸，Discuz本身也在持续更新修补，建议至少每季度检查一次官方的更新公告，及时打补丁。如果你的站子已经有一段时间没人维护，建议先做一次全面的文件完整性校验，和官方原版文件对比一下，看有没有被篡改的痕迹。有问题的可以继续在帖子里交流，我尽量回复。