下载PHP开源小源码别直接上线，这四个安全点不做，数据被重置挂马都是常事

新手做资源站，下载个笔记类PHP源码，传上去就直接上线，结果里面藏着后门，还没做基础安全配置，分分钟被人挂暗链。这类轻量PHP源码用的时候，几个基础要点必须做。第一，源码拿到手，先删install目录，不然后台安装地址被人扫到，直接重新跑安装流程，你的笔记数据全被重置；第二，管理后台的地址，别用默认的admin.php，改成随机长名字，再加个简单的IP白名单，不然爬虫24小时扫后台地址，字典爆破迟早进去；第三，上传附件的目录，在Nginx里关掉PHP执行权限，不然用户抓包传个php木马，直接在服务器上跑；第四，别在源码里硬编码数据库密码，用环境变量存，源码要传到公开Git仓库的话，先把敏感信息全剔出去。

我之前用个开源的笔记源码，忘了删install目录，一周后被人重新安装，存的几百篇笔记全没了。很多新手觉得小源码功能简单，直接传上去就能用，根本不做安全配置，结果被人利用漏洞，把你网站当肉鸡用。真的，不管多小的源码，部署完都把这几个安全点做了，十分钟就能设置完，不会出现数据被重置、网站被挂马的问题。