安全防护
后台安全三件套、前台防护(防 CC / UA 黑名单 / 海外屏蔽)、蜘蛛验真与 IP 黑名单。核心原则:真蜘蛛不误伤,恶意流量进不来。
后台安全三件套
后台「安全 → 后台安全」,建议装完立即开启至少两件:
| 项 | 说明 |
|---|---|
| IP 白名单 | 仅白名单内 IP 可打开后台(固定办公 / 家庭网络推荐) |
| 登录安全码 | 登录页额外输入一道只有你知道的码 |
| 图形验证码 | 登录页验证码,防脚本爆破 |
另有兜底:登录连续失败 5 次自动锁定 5 分钟;JWT 黑名单登出精确失效单 token。
前台防护
| 模块 | 说明 |
|---|---|
| 防 CC | 实时限流(默认 120 次/分/IP),超限临时封禁 |
| UA 黑名单 | 任意 UA 拦截规则(含正则),恶意爬虫 / 采集器直接挡在门外 |
| 海外屏蔽 | 两种模式:仅允许中国大陆 / 仅屏蔽中国大陆(基于 APNIC GeoIP) |
| IP 黑名单 | 手动 / 自动封禁(支持 CIDR 与过期时间);高频扫描、DDoS、漏洞扫描自动封 |
| 查询串限流 | 针对高频换查询串的刷量行为限流 |
蜘蛛验真(不误伤收录)
- UA 识别 + PTR 反向 DNS + FCrDNS 双重验真:自称 Baiduspider 的请求反查其 IP 归属,不属于官方 IP 段的直接判定为假蜘蛛;
- 假蜘蛛可按规则放行 / 403 / 444(直接断连)/ JS 挑战;
- 官方蜘蛛 IP 段库每日自动从 188mi 平台同步,真假判定数据源常新;
- 真蜘蛛不受 UA 黑名单和防 CC 限制。
!开了海外屏蔽,谷歌不来了?
「仅允许中国大陆」模式会拦截 Googlebot 等海外蜘蛛,这是该模式的字面语义;需要谷歌收录的站群请改用「仅屏蔽中国大陆」或关闭。
安全使用建议
- 管理员密码用强密码;AI Key 与发布密钥不要泄露给无关人员(保存后系统不回显);
- 定期检查「IP 黑名单」的自动封禁记录,有整段扫描可加 CIDR 规则;
- 升级前备份数据库;内容批量改写前先小范围试用。