站点安全：怎样建立页面优化清单
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /7ec88249e673.html
📄
站点安全：怎样建立页面优化清单
建立页面优化清单，核心是把“站点安全”拆成可检查、可记录、可复验的页面项，而不是只凭感觉改代码。做法是：先确定要保护的页面与风险范围，再按准备、实施、验证、维护四步列出检查项，每项都写明检查对象、判断标准和证据保存位置。最关键的一步是实施阶段的“先记录现状，再改动”，因为缺少改动前的证据，后续无法判断问题是否真的被修复。
准备阶段：先圈定页面和风险范围
不要一上来就全站铺开。先列出需要纳入清单的页面类型，例如登录页、表单提交页、用户资料页、后台入口页和对外展示页。对每一类页面，记录它承载的数据、可执行的操作和对外开放程度。判断标准是：页面是否接收用户输入、是否展示他人数据、是否连接数据库或第三方接口。满足任意一项，就应进入清单。
同时准备一份证据表，字段可以包括：页面地址、检查时间、检查项、当前状态、证据截图或日志位置、负责人。证据表的作用是让“站点安全”从主观判断变成可追溯记录。
实施阶段：把安全要求写成逐项检查
清单项要具体到能执行。可以按下面几组展开：
- 传输检查：页面是否通过加密连接加载，混合内容是否被阻止，表单提交地址是否与页面协议一致。
- 输入检查：表单、查询参数、上传入口是否对长度、类型、特殊字符做限制，错误提示是否暴露内部路径或数据库信息。
- 输出检查：用户提交的内容在展示前是否转义，富文本是否过滤危险标签和属性。
- 访问检查：后台入口、管理接口、导出功能是否要求身份验证，权限是否按角色区分。
- 依赖检查：页面引用的脚本、样式、字体来源是否可控，是否加载了不再维护的外部资源。
最关键的一步在这里：每改一项，先保存改动前的页面快照、请求记录或错误日志，再实施修改。这样验证阶段才能对比。假设某个搜索框会把输入内容原样输出到结果页，改动前保存一条包含特殊字符的查询记录，改动后再用同一输入复测，才能判断转义是否生效。这里的例子是假设，不是真实项目结果。
验证阶段：用同一路径复测并区分现象
验证不是“看起来没问题”，而是用同一入口、同一参数、同一身份重新走一遍。检查项应写明预期结果。例如：提交含特殊字符的表单后，页面应正常显示文本而非执行脚本；未登录访问后台地址，应返回登录页或拒绝提示，而不是直接展示数据。
遇到异常时，先区分“可能原因”和“已经定位的原因”。页面加载失败可能是网络、证书、重定向或资源被拦截，不能只凭一个现象断定是某一类攻击。验证记录要写清：复测时间、复测路径、实际结果、与预期差异、下一步排查方向。
维护阶段：让清单随页面变化更新
页面改版、新增表单、更换第三方组件、调整权限后，原清单可能失效。维护动作包括：每次上线前对照清单勾选受影响项；每季度抽查高风险页面；把新发现的问题补进检查项。判断清单是否还有效，可以看它能否回答三个问题：这项检查针对哪个页面，判断标准是什么，证据保存在哪里。如果答不上来，就说明该项需要重写。
下一步，选一个当前有具体问题的页面，按上面的证据表字段建立第一版记录，先完成改动前快照，再逐项执行检查。
