你用的是什么CMS建的站？WordPress、织梦还是Discuz？不管选哪个，只要装上就不管了，早晚要出事。2024年光是WordPress插件漏洞就被公开披露了上千个，织梦的SQL注入历史漏洞至今仍有站点中招。CMS安全加固这件事，拖不得。
一、WordPress：插件是最大风险源
WordPress本身核心代码安全性不错，但插件生态鱼龙混杂。加固重点：
1. 清理无用插件。每多一个插件就多一个攻击面。把停用的、来源不明的、超过一年没更新的插件全部删除（不是禁用，是删除）。
2. 关闭文件编辑功能。在wp-config.php中加入define('DISALLOW_FILE_EDIT', true)，防止后台管理员直接编辑主题和插件文件被利用。
3. 限制登录尝试。安装Limit Login Attempts这类插件，或用WAF规则限制wp-login.php的访问频率。
二、织梦DedeCMS：老漏洞不修就是灾难
织梦的历史漏洞非常多，尤其是SQL注入和任意文件上传。如果你还在用老版本，尽快升级到最新版。加固要点：
1. 删除install目录。安装完成后install目录没用了，留着就是给攻击者重装数据库的机会。
2. 修改默认data目录路径。织梦的data目录存放缓存和上传文件，默认路径太容易被扫描。在后台系统设置里修改data目录名称。
3. 关闭会员功能。如果不需要前台注册登录，在系统基本参数里关闭会员功能，减少SQL注入攻击面。
三、Discuz：插件和模板同样要盯紧
Discuz论坛系统的安全问题主要集中在第三方插件和模板上。加固建议：
1. 升级到最新Discuz X版本。老版本的XSS和SQL注入漏洞已被公开利用，必须升级。
2. 审查第三方插件。只从官方应用中心安装插件，非官方渠道的插件可能被植入后门。
3. 配置UCenter安全。修改UCenter默认通信密钥，限制UCenter后台访问IP。
四、所有CMS通用的三条铁律
第一，及时更新。核心程序、主题、插件有新版本就更新，漏洞修复往往包含在补丁里。第二，定期备份。数据库和文件每周至少备份一次，出事能快速回滚。第三，装WAF。不管是宝塔的免费WAF还是商业WAF，能拦住大部分自动化扫描和注入攻击。