安企CMS 帮助文档与使用指南
有些跨站脚本不在前台触发，而是等管理员在后台打开待审评论时才被执行，这类缺陷的防护位置和前台完全不同。本文以近期 WordPress 7.1.3 修复的评论管理页存储型 XSS 为例，说明二次上下文为什么是独立攻击面、入库过滤为什么不够，以及后台侧要做的三层防护：输出转义、权限边界与内容审核。
安全回补和功能升级走的是两条时间线。以近期 WordPress 7.1.3 为例，官方把安全修复回补到仍具备资格的旧分支，同时提醒只有最新版本处于积极支持状态。本文说明积极支持与安全支持两档的差别、为什么功能改进要等主线，以及给站点排升级时间线时该按什么顺序判断。
把自动化抓取按行为分成三层——为后续回答做收集与索引、为训练模型做抓取、代替用户实时取页，三类对站点的收益和成本完全不同。本文说明为什么按域名放行不够用、放行规则该怎么分层排，以及 robots 只表达意向这一点为什么决定了它必须和内容侧保护配合使用。
llms.txt 不是强制标准，而是一份仍在讨论阶段的社区提案：文件用 Markdown 写站点说明和资源清单，一级标题是必需段落。没有放这个文件不会触发任何抓取惩罚，代价只是模型在取内容时少一层导航。本文说明提案里写死了哪些格式、做了能得到什么，以及站内自动生成该文件接在哪一环。
LCP 量的不是"首屏有没有东西"，而是视口内最大的图片或文本块什么时候完成渲染。本文说明哪些元素会进入候选、为什么图片站容易测偏，并解释懒加载、背景图和占位图三种情况怎样把候选元素推后，最后给出服务端渲染与标题自动配图对首屏的实际影响。
把新地址批量提交给搜索引擎，只是通知对方"这里有变更"，真正去抓仍然消耗站点的抓取配额。本文说明提交与抓取为什么是两件事、密钥文件在校验什么、一次性推太多为什么反而更糟，并给出按发布节奏分批提交的排法，以及站内链接推送该怎么配合定时发布。
站点地图数量超过单个文件上限时，要靠索引文件把多个子地图汇总起来。本文按协议原文说明单个文件的两条上限、索引文件与子地图各自承担什么，并列出拆分后最容易出错的三处：子地图地址写错、编码不合规、生成日期与实际修改日期不一致，最后给出站内自动产物该抽样核对哪些项。
外贸站做多语言时，常把整页翻译和多语言站点配置当成同一件事。前者解决内容层面的译文产出，后者解决站点与域名层面的语言归属，两件事分工不同、返工成本也不同。本文说明两条线各自管什么、地址与切换入口怎么定，以及运营中最容易踩的三类坑。
安全公告提前公布修复时间，是为了让一批修复集中落地并给使用方留出准备窗口。以 Drupal 官方预告为例：Webform 项目一个 critical 级问题的修复定于 2026 年 9 月 23 日 17:00 至 21:00 UTC 之间发布。本文说明预告的理由，并给出窗口期四类动作：清点受影响模块、收敛写入面、安排升级与验证、准备回退点。
官方对自动更新做强制推送，通常发生在漏洞等级足够高、且被动等待升级会带来大面积风险的版本上。以 WordPress 7.0.2 为例，官方说明该版本处理一个 critical 与一个 high 级安全问题，因严重度对受影响版本启用了自动更新系统的强制更新。本文说明触发的条件、强制更新会不会改坏站点，以及窗口期站方要做的三件事：确认版本来源、留可恢复的备份、验证自定义代码是否被覆盖。
