漏洞库已累计五万五千多条，插件风险多久看一次

插件风险多久看一次，取决于站点暴露了多少能被匿名触达的功能。检索当天，Patchstack 的 WordPress 漏洞库累计条目显示为五万八千余条，其中绝大部分来自插件而不是核心程序。总量本身不是重点，重点是这些条目的产生速度远高于一次年度维护能覆盖的范围，因此巡检节奏必须按站点类型分档，而不是统一「有空再看」。

总量数字说明了什么

漏洞库累计条目多，意味着两件事。第一，风险面主要在扩展：核心攻击面经过长期审计已相对收敛，插件的作者、发布节奏、维护强度彼此独立，数量又随时可变。第二，历史条目不会失效：一个三年前的插件缺陷，只要站点还装着旧版本，就仍然成立。巡检要做的不是「看今天的新闻」，而是把当前装着的每一项与库里的记录对上。

同时要避免误读：库里的条目数量不等于在野利用数量，很多只存在于理论披露。分档的意义就在这里——把有限的注意力放在能被匿名触发的那部分。

巡检节奏按站点类型分档

分档依据是「匿名可写入的入口有多少」，而不是流量大小。一个日访问不高但开放注册与上传的站点，风险高于纯展示的官网。

每次巡检固定看哪几项

固定清单比临时发挥更可靠。四项必查：一是扩展清单与版本，逐个对齐漏洞库记录，重点看长期没打开过又没卸载的模块；二是后台入口，登录失败次数、是否仍允许默认账号名、会话有效期是否过长；三是内容出口，留言、评论、用户资料里的外链与脚本片段；四是文件层，上传目录是否可执行、模板文件近期是否被改动。

再加上两项低频但容易救命的：恢复演练（能否用现有备份真的起一个可用站点），以及日志留存时长（出事时能不能回溯到攻击发生那天）。

用内容审核与防采集干扰码减少人工项

巡检之所以能压缩，关键在于把重复判断交给系统。AnQiCMS 内置内容敏感词过滤与内容审核，投稿、留言进入展示前按规则处理，敏感词还可以按关键词替换，管理员不必每天逐条读一遍；防采集干扰码针对批量抓取，能及早发现站点被镜像，而镜像往往就是垃圾流量与钓鱼页的来源，这类信号本来要靠人工搜索才能发现。两者叠起来，把「内容出口」和「外部复制」两类巡检项从逐项核查降为异常时再看。

备份恢复作为最后一步

前面所有检查失败时，能兜底的只有备份。AnQiCMS 的备份与恢复覆盖数据并包含静态文件，价值在于出问题后可以整体回退，而不是逐表修补。需要注意两点：备份存在不等于能恢复，至少每季度做一次真实恢复；备份文件若与站点在同一台机器上，遇到加密破坏或入侵时会一起失效，应留一份异地副本。

常见问题

装了自动更新是不是就不用巡检了？ 自动更新能覆盖版本，但覆盖不了配置漂移、被停用的安全开关、以及更新后仍然存在的旧模块。巡检重点转向核对更新是否真的发生。

发现一条命中但没有在野利用记录，要不要立刻处理？ 可以排进下一个低峰窗口，不必中断业务。但如果入口是匿名可达的上传或表单，应立即处理，同时先关闭该入口。

巡检记录要留多久？ 建议至少保留一年，与日志留存周期对齐。频率再高，没有可对比的历史记录也无法判断是否变好。