做网站副业别被坑，安全选型怎么选才不亏
找建站公司最怕什么？不是设计丑，也不是工期拖，而是上线后三天就被黑，数据被删，还得掏几万块请人修。很多想靠做网站副业赚钱的人，第一单就栽在这上面。客户问怎么选安全方案，你支支吾吾答不上来，单子直接飞了。
别觉得安全是大厂才该操心的事。现在中小企业老板都精得很，他们不关心你用什么高大上的词，只关心两件事：会不会被黑？被黑了数据还在不在？如果你连基础的防护逻辑都讲不清楚，客户凭什么信你能长期维护？
这篇文章不讲虚的，直接拆解做网站副业中最常见的安全坑，告诉你怎么用最少的成本，搭建一套让客户放心的防护体系。内容涵盖威胁场景、漏洞原理、具体代码修复、检测工具和加固清单，全是实战干货。
威胁场景：你的副业网站正在被“摸底”
很多新手接私活，觉得做个企业官网或者小程序，代码量小，不用太在意安全。大错特错。现在的攻击是自动化的，脚本全天候扫描互联网。如果你的网站暴露在公网，从上线那一刻起，你就在别人的扫描雷达里。
最常见的场景有三种：
第一，SQL注入。 这是老生常谈，但至今占Web攻击的40%以上。攻击者通过修改URL参数或表单输入，拼接恶意SQL语句，直接读取你的数据库。比如，攻击者在登录框输入 ' OR 1=1 --，如果后端没做过滤，整个用户表数据就可能泄露。
第二，文件上传漏洞。 很多副业网站带后台管理，允许上传Logo或产品图。如果没校验文件类型，攻击者可以上传一个 .php 的Webshell文件。一旦上传成功，他就能执行任意命令，删库、挂马、挖矿，一条龙服务。
第三，配置信息泄露。 这是最容易被忽视的。比如 .git 目录没隐藏，攻击者直接下载你的源代码；或者 wp-config.php 没权限控制，数据库账号密码直接裸奔。
这些攻击不需要黑客有多高超的技术，只需要一个免费的扫描器，跑一遍就能发现。对于做网站副业的人来说，一次安全事故，不仅赔钱，更赔口碑。客户会觉得你“不专业”，以后再也不找你。
漏洞原理：为什么你的代码防不住
很多开发者觉得，我加了个密码验证，用了HTTPS，应该没事吧？其实，安全防护的核心在于“输入验证”和“最小权限”。
SQL注入的本质是“信任用户输入”。 在Java或PHP中，如果直接把用户输入拼接到SQL语句中：
String sql = "SELECT * FROM users WHERE name = '" + username + "'";
攻击者传入 admin'--，语句就变成了 SELECT * FROM users WHERE name = 'admin'--'，注释掉了后面的部分，导致逻辑失效。
文件上传的本质是“信任文件扩展名”。
很多后端只检查后缀名是否为 .jpg 或 .png。但攻击者可以改成 .jpg.php，或者利用Nginx/Apache的配置漏洞，让 .jpg 文件被当作PHP解析。
配置泄露的本质是“目录可公开访问”。
比如 .env 文件或 .git 目录，如果Web服务器没有配置禁止访问，任何人都可以下载。.env 文件里通常包含数据库密码、API密钥等敏感信息，一旦泄露，整个系统形同虚设。
理解这些原理，你才能在和客户沟通时，说出“我们做了参数化查询”、“我们做了文件类型白名单校验”、“我们配置了服务器目录访问控制”等专业术语。客户一听，觉得你懂行，信任感瞬间建立。
防护方案：代码层面的硬核操作
说了这么多，到底怎么改？这里给出一段代码对比，让你看清楚“不安全”和“安全”的区别。
场景：用户登录接口
不安全写法（Java示例）：
String username = request.getParameter("username");
String password = request.getParameter("password");
String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";
// 直接执行sql，存在SQL注入风险
安全写法（Java示例）：
String username = request.getParameter("username");
String password = request.getParameter("password");
// 使用PreparedStatement参数化查询，自动转义特殊字符
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();
关键点： 永远不要拼接SQL，必须使用参数化查询。这是防SQL注入的金标准。
场景：文件上传接口
不安全写法（PHP示例）：
$fileName = $_FILES['file']['name'];
// 只检查后缀，未检查文件内容，且未重命名
move_uploaded_file($_FILES['file']['tmp_name'], "uploads/" . $fileName);
安全写法（PHP示例）：
$fileName = basename($_FILES['file']['name']);
$allowedTypes = ['jpg', 'png', 'gif'];
$ext = pathinfo($fileName, PATHINFO_EXTENSION);// 1. 检查扩展名白名单
if (!in_array($ext, $allowedTypes)) {die('File type not allowed');
}// 2. 检查文件MIME类型（双重验证）
$fileInfo = new finfo(FILEINFO_MIME_TYPE);
$mimeType = $fileInfo->file($_FILES['file']['tmp_name']);
if ($mimeType !== 'image/jpeg' && $mimeType !== 'image/png') {die('Invalid file content');
}// 3. 重命名文件，避免覆盖和特殊字符攻击
$newFileName = uniqid() . '.' . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], "uploads/" . $newFileName);
关键点： 白名单校验扩展名 + 验证MIME类型 + 重命名文件。三重保险，杜绝Webshell上传。
服务器配置加固：
除了代码，服务器配置同样重要。以Nginx为例，禁止访问敏感目录：
location ~ /\.(git|env|svn) {deny all;
}
以Apache为例，配置 .htaccess 禁止访问 .git 目录：
<FilesMatch "^\.git">Order allow,denyDeny from all
</FilesMatch>
这些配置很简单，但能堵住90%的低端攻击。
检测与修复：上线前的“体检”流程
代码写好了，服务器配好了，能直接上线吗？不行。必须经过检测。对于做网站副业的人来说，你不需要买昂贵的渗透测试工具，几个免费工具就能搞定。
1. SQL注入扫描：SQLMap 开源神器，能自动检测SQL注入漏洞。 命令示例：
sqlmap -u "http://yoursite.com/login.php?user=admin"
它会尝试各种注入方式，如果报告“Injection detected”，说明你的参数化查询没做对，必须回去改代码。
2. 目录扫描：DirBuster 或 Goby
扫描服务器是否存在敏感文件泄露，如 .git、backup.zip、config.php.bak 等。
重点检查返回状态码为200的敏感路径。
3. 端口扫描：Nmap 扫描服务器开放端口，关闭不必要的服务。比如，你只需要80和443端口，那22（SSH）端口最好限制IP访问，或者改用非标准端口。
nmap -sS -p 1-65535 your-ip
修复流程：
- 运行扫描工具，生成报告。
- 根据报告定位漏洞点（代码或配置）。
- 修改代码或配置。
- 重新部署，再次扫描，直到无高危漏洞。
- 上线。
这个流程虽然多花半天时间，但能避免后期无数次的“救火”。客户如果知道你有这套流程，会觉得你非常专业。
安全加固清单：交付前的最后检查
在把网站交付给客户之前，拿着这份清单逐项检查。这不仅是对客户负责，也是对自己副业品牌的保护。
1. 传输安全
- 全站启用HTTPS，配置SSL证书（Let's Encrypt免费证书即可）。
- 强制HTTP跳转到HTTPS，防止中间人攻击。
- 检查HSTS头，确保浏览器只接受HTTPS连接。
2. 数据安全
- 数据库密码不使用默认值，定期更换。
- 数据库端口不对外公开，只允许应用服务器IP访问。
- 敏感数据（如手机号、身份证）在数据库中加密存储。
- 配置数据库自动备份，每天一次，保留7天。
3. 代码安全
- 所有用户输入经过过滤和验证。
- 使用参数化查询防止SQL注入。
- 文件上传做白名单和MIME校验。
- 关闭调试模式（Debug Mode），生产环境不显示错误堆栈。
4. 服务器安全
- 关闭不必要的端口和服务。
- 使用强密码登录，或改用密钥登录。
- 安装防火墙（如UFW），限制访问IP。
- 定期更新系统补丁。
5. 监控与日志
- 开启Web服务器访问日志，记录IP、URL、User-Agent。
- 配置日志告警，当发现大量404或500错误时，发送通知。
- 使用阿里云官方文档推荐的云盾产品，配置DDoS防护和Web应用防火墙（WAF）。虽然初期成本高，但对于高价值客户，这是加分项。
为什么强调阿里云官方文档？ 因为中小企业老板信任大品牌。你在交付文档中引用阿里云的安全最佳实践，会显得你的方案有背书，不是拍脑袋想的。比如，你可以说：“我们按照阿里云官方文档中的《Web应用安全加固指南》进行了配置，确保符合行业标准。”这句话，比你说“我做了很多安全措施”要有说服力得多。
最后，给你的副业建议：
做网站副业，技术是基础，但“安全”是溢价点。很多客户不懂技术，但他们怕丢数据、怕被黑客勒索。你把这些恐惧点解决掉，你的报价就可以比别人高20%-30%。
不要只把自己当成“写代码的”，要当成“安全顾问”。每次交付前，拿出这份清单，逐项打勾，打印出来附在交付文档里。客户看到这么专业的流程，下次有需求，第一个想到的就是你。
你踩过哪些建站的坑？评论区交流
