个人网站安全自检清单：一次授权渗透测试换来的5条教训

前阵子帮朋友对他的个人站做了一次授权渗透测试，四轮打下来没拿下一个洞——防御做得确实漂亮。但复盘过程里，有几条经验值得每个站长对照自检，今天整理成清单分享给大家。

一、安全响应头三件套必须加。X-Frame-Options防点击劫持、X-Content-Type-Options防MIME嗅探、CSP防XSS。Nginx里三行add_header的事，能挡掉一大类低成本攻击。本次测试中点击劫持就是唯一成功的PoC，教训深刻。

二、登录防爆破别只锁账号。只按账号锁定会带来副作用：攻击者可以故意输错密码把真实用户锁在外面，变成拒绝服务。正确姿势是「账号+IP+验证码」组合策略，异常流量先弹验证码。

三、错误信息要「模糊」。登录失败统一提示「账号或密码错误」，接口报错不吐堆栈，版本号和构建时间尽量不外露。信息越少，攻击面越小。

四、数据库查询全部参数化。SQL注入至今仍是头号威胁，ORM或预编译语句能从根上解决，别信任何「我手动转义了」。

五、定期自查泄露面。用证书透明度日志查子域名，检查.git、.env、备份包、swagger/actuator等路径是否暴露，源站IP是否被CDN挡住。很多站不是被攻破的，是自己把钥匙挂在门口。

安全没有银弹，但把这五条做到位，你已经跑赢了绝大多数个人站。记得：只在授权范围内测试，未授权的「帮忙」就是违法。