专找停更三年的老开源源码说稳定，刚传上去就被挂黑链，白折腾一周

前两年我做个下载站，找开源源码的时候看到论坛里有人说，最新版的源码bug多不稳定，找那种几年前停更的老版本，功能全还没那么多漏洞，用着稳。我当时觉得有道理，特意找了个2019年最后更新的老版下载站源码，传上去就开始搭内容，结果用了不到一周，网站就被百度提示风险，说页面有恶意内容。 我赶紧登后台查，模板文件夹里藏了好几个PHP文件，自动定时生成一堆隐藏的黑链，之前说的老版本“稳定”，根本就是没人维护，里面公开的漏洞全世界都知道，扫描器自动扫到就来挂马。我当时赶紧把整个源码全删了，从官网下载最新正式版，重新部署、清数据库里的残留黑链，又去百度提交申诉，前前后后折腾了一周，网站才恢复正常，比我当初直接用最新版多花了十倍的时间。 从那之后我找开源源码只看两个点：第一，最近半年有没有更新，哪怕是小版本修bug，说明作者还在维护，发现漏洞能及时补；第二，是不是官方仓库下载的，别从第三方论坛、网盘找那种打包好的老版本，谁知道里面藏了什么后门。我之前总觉得，老版本没有新功能、bug少，其实恰恰相反，老版本里的漏洞早就被公开了，黑客根本不用猜，直接用现成的脚本就能打穿，你用这种版本，等于主动把服务器门打开。 还有个新手常犯的错：看到别人推荐某个源码好，直接下载别人改好的二开版本，结果人家在里面留了后门，你传上去用，别人随时能进你后台。现在我找开源程序，全从官方GitHub或者官网下载原版，需要什么功能再自己改，第三方的二开版本哪怕说的再好我都不碰。 这几年我换了好几个开源程序：Z-Blog、WordPress、PbootCMS、Hugo，全是选最新稳定版，装完立刻更到最新补丁，三年下来再也没出过刚上线就被挂马的事。真的别迷信什么“老版本稳定”，稳定的前提是有人持续维护，没人维护的老版本，再“稳定”也是个漏洞堆。