帝国CMS上传功能别裸开，用户传个php木马，网站首页直接被改成赌博站

新手用帝国CMS做下载站，用户上传附件的时候，一会儿传个php木马上来，一会儿传个exe病毒文件，网站直接被黑，其实帝国CMS上传配置做几个限制，就不会出问题。第一，在后台上传设置里，开后缀白名单，只允许jpg、png、zip、pdf这些业务需要的后缀，别的后缀直接拒绝；第二，上传目录关掉PHP执行权限，就算用户传了后缀改成jpg的木马，访问也不会被解析执行，直接当静态文件返回；第三，单个附件大小限制，别让用户传几个G的大文件，把服务器带宽占满；第四，上传的文件重命名，别用用户上传的原始文件名，防止文件名里带特殊字符，被人利用做跳转。

我之前做本地资料下载站，上传没做限制，用户传了个php木马，首页直接被改成赌博站，把后缀白名单加上，关了上传目录的PHP执行权限，之后再也没被传过木马。很多新手觉得上传功能就是存文件，随便开，结果黑客把木马传上来，直接拿到服务器权限，花十分钟把上传配置配好，比网站被黑了再恢复省太多事。