模板巴巴提供各类PbootCMS企业模板，很多客户搭建完成后忽略安全配置，网站上线不久就遭遇后台爆破、数据库泄露、挂黑链、木马植入等问题。网站部署完成后，第一件事就要完成全套安全加固，避免网站被入侵造
一、升级程序到官方最新版本（优先操作）
请持续关注PbootCMS官方更新日志，有新版本建议及时升级官方稳定版。
升级前务必备份全站源码+数据库，防止升级过程出错；
网站做过二次代码修改的，不要使用后台在线升级，建议手动对比覆盖核心文件，或者交由技术人员处理；
模板巴巴所有模板均搭配官方纯净内核使用，禁止使用网上破解版、第三方修改封装内核，这类源码很多预埋后门；
升级完成后清空runtime缓存目录，测试前台、后台访问是否正常。
二、修改后台访问路径
PbootCMS默认后台地址：域名/admin.php，黑客扫描工具会批量探测该文件，是暴力破解的主要目标。
在网站根目录找到admin.php，重命名为复杂名称，推荐字母+数字组合，例如admin_7291.php；
不要使用简单名称：manage.php、admin123.php这类极易被扫描；
修改完成后，后台登录地址：域名/修改后的文件名.php；
不要把新后台地址写在模板注释、页面源码以及聊天记录中，防止泄露。
三、设置高强度后台账号密码
很多客户搭建网站后依旧使用默认账号admin、密码123456/admin，非常容易被猜解爆破。
登录后台，右上角个人信息处修改密码；
密码规范：大小写字母+数字+特殊符号，长度≥8位；
禁止使用域名、手机号、连续数字这类弱密码；
建议每2‑3个月更换一次后台密码。
四、修改SQLite数据库目录名称（使用SQLite数据库必做）
如你的网站使用MySQL数据库，此步骤可直接跳过。
默认数据库存放目录为/data，攻击者可直接扫描下载sqlite数据库文件，造 成客户资料泄露。
通过FTP或面板文件管理器，将根目录data文件夹重命名，示例：data#20260914；
打开config/database.php配置文件，找到sqlite对应的dbname参数；
将路径里/data/替换成刚刚修改的文件夹名称；
'dbname' => '/data#20260914/pbootcms.db'
保存并上传文件，刷新后台确认网站正常登录；
注意： 修改后打不开后台，请核对文件夹名与配置文件名称保持完全一致，符号、大小写不能出错。
五、目录文件权限设置（Linux主机）
核心原则：全部目录默认只读，仅给必须写入的目录开放755权限，严禁设置777全开权限。
网站所有文件夹、文件统一设置权限为555（禁止写入）；
单独给3个目录设置755权限：
runtime：系统缓存目录，需要读写权限
data（改名后的数据库目录）：sqlite数据库读写
static：图片附件上传保存目录
可直接删除无用目录：doc、rewrite，减少被扫描攻击面；
Windows虚拟主机没有数字权限概念，在面板设置文件禁止改写，仅给以上三个目录开放写入权限即可。
六、配置robots.txt屏蔽核心目录抓取
修改根目录robots.txt，禁止搜索引擎爬虫抓取后台、模板、接口等敏感路径，防止路径信息泄露。直接复制下面内容替换原有robots：
User-agent: *Disallow: /admin/*Disallow: /template/Disallow: /static/*Disallow: /api/*Disallow: /?*Disallow: /app*/Disallow: /app
保存上传至网站根目录。
七、后台安全配套设置
登录PbootCMS后台→配置参数→安全设置：
开启留言验证码、表单提交验证码、防止恶意灌水与脚本提交；
开启登录失败锁定，密码多次错误自动锁定账号；
有固定办公IP的客户，开启后台IP白名单，仅指定IP访问后台；
开启模板子目录，提升模板安全等级；
八、服务器/面板层面防护
宝塔面板环境：安装安全组件：堡塔企业级防篡改（重构版）、Nginx防火墙/Apache防火墙，开启PHP后门查杀、文件变更告警。
虚拟主机：关闭FTP功能
Windows服务器：安装D盾、安全狗，开启webshell拦截防护。
九、定期备份（兜底最重要手段）
开启服务器自动备份：全站源码+数据库；
务必定期手动下载备份包到本地电脑/网盘，不要只依赖主机面板备份；
建议每周至少做一次完整备份；网站改版、模板升级前，手动备份一次。
风险提醒：虚拟主机一般只保留最近几天备份，如果网站已经被黑，服务器上留存的备份文件本身也可能带木马，无法用来恢复网站。
上线加固自检清单（部署模板后核对）
程序升级官方最新版本，升级前完成备份
admin.php已重命名，不再使用默认后台地址
后台账号设置高强度密码
SQLite数据库站点：修改data目录名并修改database.php配置
目录权限配置正确，仅runtime、data、static开放755，无777权限
robots.txt已替换屏蔽核心目录规则
后台验证码、登录锁定已开启
服务器防火墙/防篡改插件已部署
开启自动备份，定期下载备份离线保存
总结
客户使用PbootCMS模板建站被入侵，大多是程序版本老旧、默认后台地址、弱密码、数据库目录默认、权限全开这几个原因。模板巴巴提醒各位客户，网站上线完成模板部署后，做完全套加固，可抵御绝大多数扫描器、爆破、数据库下载、常见模板漏洞攻击。网站安全是整套防护体系，不是单一某一项配置。
温馨提示：如果没有代码基础，不要随意修改内核文件，优先完成上面这些安全配置。
模板巴巴提供的PbootCMS模板仅负责前端页面展示，网站服务器安全、程序安全需要站长自行维护。
如需网站托管加固付费运维，可联系站长
