做https改造，宜宾老板最容易栽的坑是以为上了就没事

宜宾一个商户站的首页被挂码，跳到赌博站。老板拿浏览器来问：地址栏那把锁一直亮着，怎么还会被挂？我的答案是 https 管的是传输过程，管不到服务器里的文件。锁亮着和站安全，是两件事。

挂码常落在三个地方

第一处是模板文件。整套站用的是别人家的模板，模板里带的东西一直没被发现，改版的时候被带回来了。换回原来的模板，跳转又停了。第二处是数据库，注入进去的脚本，页面每次渲染都带着它。第三处是弱口令，文件传输和后台共用一套密码，扫到就能改文件。

冠英古街一带的商户站多为展示加预约，功能不多，模板来源杂。这类站最容易被塞进一段没人看过的代码。李庄古镇的民宿预订页接了第三方表单，表单接口没做签名校验也是一个入口。

改完之后要做的三件事

• 模板逐个文件比对，不是官方原版的换掉
• 数据库里搜可疑的脚本片段，删完再跑一遍
• 换掉所有密码，能开双层的开双层

我们交付前跑自动化测试，再做代码审查和安全审计，交付代码要过质量门禁。这套流程拦的是明面上的问题，后门这种要靠逐个文件比对。验收后交付完整源码，源码到手你自己能看每一行，这才是根治的地方。

上了加密还得盯配置

https 装好之后配置会慢慢松掉。密码换了新同事入职又改成弱口令，模板升级又带进新文件。上了一次 https 不等于长期安全，这是最省事的误判。每月花十分钟看一遍文件改动记录，比出事之后再修便宜得多。

网站被挂码的常见疑问

上了 https 就不会被挂吗？

不会。https 防止传输过程被窃听，服务器里的文件被改，锁照样亮着。

挂码一般从哪里进来？

模板、数据库注入、弱口令这三处最多。换成自己官方下载的模板能挡掉一大半。

改完之后怎么确认干净了？

逐个栏目点一遍，用控制台看有没有异常请求，后台每个按钮点一遍。这三步做完才算完。

锁亮着不等于安全

质量门禁是自动化测试、代码审查、安全审计三项，缺一项不上线。

宜宾信服无限做带 https 的站，会把模板来源和文件比对写进交付清单。加密那层交出去，后门那层自己盯着。现在的站点源码或者模板来源发我，我们先看有没有塞东西的地方。