PbootCMS二开站点不敢升级？虚拟主机没有WAF？宝塔裸奔？这份站点防护自查清单收好 - 建站技巧

做 PbootCMS 维护这几年，接到的"网站被黑"求助，大部分都不是服务器被端了，而是从应用层进来的：SQL 注入、模板注入、后台被爆破、上传了伪装图片马。而且有个规律——出事的站点，绝大多数是下面这三类：

这篇文章就把这几类站点的困境说清楚，最后给一个不用升级核心、不用动服务器就能补上的防护方案。

PbootCMS 二开站点为什么不敢点"在线升级"？风险大家都懂：

所以很多站长的选择是：版本锁死，能用就不动。但问题是——不升级，等于把已知漏洞一直挂在公网上。PbootCMS 的补丁基本都是针对新版修复的，老版本享受不到。被扫描器盯上，一条已知漏洞就可能直接打穿。

二开站点真正的出路，不是"升不升级"二选一，而是：代码不动的前提下，在入口加一道防护，把漏洞利用挡在 CMS 处理之前。这正是 WAF 干的事。

虚拟主机（共享主机）站长更被动：

这种环境下，服务器层面的 WAF 一条路都走不通。能自己控制的，只有网站应用本身。所以虚拟主机站点想要防护，只能走应用层 WAF：装一个 PHP 插件，在请求进 CMS 之前先过一遍过滤规则。

还有一类很隐蔽的"裸奔"——站长装了宝塔面板，就以为安全无忧了。这里要泼一盆冷水：

所以判断标准很简单：装了宝塔 ≠ 有 WAF。宝塔的系统防火墙和真正的 WAF 是两回事。这类站点和应用层插件是绝配——宝塔环境跑 PHP 插件毫无压力，装上即补上这块缺口。

不管你是哪类站长，先花两分钟自查：

如果第 1、2 条都是"没有"，那你的站点目前基本等于裸奔。这个时候需要的不是换更好的服务器，而是一个"装上就能用、不折腾"的入口防护。

上面几类站点的共性需求就三句话：不升级核心、不动服务器、装上即防。安全卫士的设计正好对上：

独立架构，二开站点放心装 插件以独立目录 + 入口引入方式运行，不修改 CMS 核心文件，PbootCMS 在线升级也不会覆盖它。二开站点想继续锁版本，就继续锁，插件照常防护，两条路不冲突。
入口前置，漏洞利用进不了 CMS WAF 核心在 CMS 核心加载前执行：请求 → 安全卫士过滤 → CMS。SQL注入、XSS、命令注入、路径遍历、模板注入、扫描器探测，63 条规则在入口先挡一道。
纯本地规则引擎，虚拟主机、宝塔都能跑 不依赖云端、不依赖服务器模块、不需要 root 权限，只要 PHP 7.0+ 就能跑。共享主机、虚拟主机照常安装；宝塔环境跑 PHP 插件毫无压力，系统防火墙 + 应用层 WAF 互补，正好补齐宝塔没买 WAF 的缺口。
装完不是黑盒，有日志、有基线 后台有完整拦截日志：谁扫你、什么时间、什么攻击、命中哪条规则，一查就知道。还有文件体检和 SHA256 文件基线，升级前后、上线前后跑一遍，核心文件被改了立刻现形。

最后提醒一句：WAF 是入口层的防护，不是万能钥匙。装了插件之后，这几件事一个都不能少：

防护这件事，永远是"出事前做"比"出事后清"便宜得多。你的站点如果正好是二开锁版本、虚拟主机裸奔、或者装了宝塔但没买 WAF 的情况，可以先装上安全卫士试试——标准模式默认兼容后台，测试站压一遍再开严格档。

后台 admin.php?p=/Safeguard/install 自动安装，三步启用；本地授权、绑定域名、终身有效，日常不联网，具体授权方式见插件发布页说明。