企业官网经常被扫描、探测、撞库、盗链，但很多公司并未意识到这些“静默风险”。一次项目中，我们为客户添加了简单的访问控制和安全策略，结果 3 天内拦截掉上万次恶意请求，服务器压力骤降。这篇文章总结了我们在中小企业官网安全防护中的实用做法。
1. 不开放目录 + 拦截扫描行为，是最基础的防护
很多攻击者通过扫描后台 等常见路径，寻找系统漏洞。
我们设置了：
禁止目录列表展示；
设置不存在的路径自动重定向或返回 403；
拦截包含特定关键词的请求；
效果：
大量自动化攻击工具被屏蔽；
日志干净，安全人员判断更精准；
节省服务器资源，提升页面访问速度；
2. 设置 referer 白名单，防止盗链与内容刷取
部分攻击者会伪造访问，批量抓取图片、PDF、内容接口，导致流量异常、内容泄露。
我们的策略是：
所有图片、资源文件添加
referer check；若非本站跳转来源，则返回空数据；
日志记录异常访问 IP 并做封锁；
特别适用于：图片资源较多、技术文档需控制下载权限的网站。
3. 网站后台设置二级路径 + 验证机制
很多建站后台地址都使用默认路径，极易被猜中。
我们的安全做法是：
后台路径自定义为二级路径；
登录需二次验证（如短信验证码或 Google Authenticator）；
尝试失败超过 5 次自动锁定 10 分钟 + 发出通知；
这类设置虽然简单，但极大提升了暴力破解的门槛。
4. 配合 Cloudflare 或 WAF，实现边缘安全防护
我们为客户搭配使用 Cloudflare Pro 或自建 WAF，配置规则如下：
海外访问限制敏感接口；
高频访问 IP 自动降速；
封锁常见攻击 User-Agent（如 python、curl）；
设置 IP 黑名单 / 地域封锁；
即便没有大型攻击，也能有效防止爬虫刷流量、页面劫持等行为。
安全，是网站运行最容易被忽略却最该重视的底层保障
我们总结一句话：
你的网站看上去没出问题，不代表它“没有在被攻击”。
只有主动做安全策略、设置防火墙、配置访问控制、定期审查日志，
才能让网站不是“等被破坏再补救”，而是“始终在防守中运行”。
