CMS装完先核的几项安全默认配置，哪些不该随手改

内容管理系统安装完成后，应该先检查哪些安全相关默认配置？答案是六个配置面：认证与会话、内容安全过滤、防采集干扰码、表单侧验证码、面向自动化工具的高危操作域、备份计划。装完当天最该做的不是套模板，而是把这几项逐项核一遍，原因很简单：装机阶段的改动面最小，而默认值大多是按保守取向设计的，随手改开的开关往往要在出事之后才想起来。

先看认证与会话

后台登录用的是 JWT 一类令牌机制，风险集中在签发校验和有效期上。装机后要确认三件事：后台入口地址是否只做必要暴露，令牌有效期与登出后是否真的失效，管理员密码是否还是安装向导里那一个。

这里最容易发生的不是被攻击，而是自己把校验关掉——为了接某个客户端把鉴权放宽，或者为了让自动化脚本跑通而延长有效期。放宽之后能收回来的是少数，所以改动前先想清楚用途，用完关掉。

内容安全过滤是两条链路

敏感词过滤与关键词替换处理的是命中规则的内容，属于入库时的自动处置；内容审核处理的是这条记录要不要对外露出，通常伴随人工确认状态。两条链路目标不同，只开一条会留缺口：只有过滤没有审核，规则覆盖不到的语义内容照样发布；只有审核没有过滤，审核队列会被大量命中内容塞满。

同一批词表也可以同时用于评论和留言的提交校验。改词表要留变更记录，批量替换类规则一旦写宽，历史内容在下一次重新生成时会被牵连。

防采集与干扰码

干扰码面向的是批量采集：在正常文本里加入不可见或者可剥离的标记，让整站抓走的内容质量下降。开启它对正常阅读影响有限，对靠转载过活的站点是实际成本。

不少装机者会把它当成「影响 SEO」而关掉，这个顾虑可以用效果来判断——干扰码作用于内容复制环节，不参与页面结构，也不是搜索引擎读取的信号。真正影响收录的是站点地图、跳转与抓取授权，两者不要混在一起考虑。

表单侧验证码

留言、评论、注册这类写入口接入 reCAPTCHA 之后，自动提交在入口就被挡住。要不要开、开在哪几个入口，按站点实际灌水量决定。

改错的方向通常是两个极端：全站所有请求都要校验，正常用户被反复打断，转化率下降；或者只在评论开、在注册不开，脚本改从注册入口批量建号。开关的粒度应该按「写动作」划分，而不是按页面划分。

自动化接口的高危域

现在的内容管理系统普遍提供 MCP 一类的接口给外部 AI 客户端调用，工具面按意图域收敛，并支持 Bearer 鉴权与回合级操作审批。要提醒的是暴露范围这一层：备份、升级、多站点管理这类全站级操作域默认是关闭的，需要显式开启才会出现在可调用的工具面里。

这个默认取向是有意的——一次误操作的影响面是整站。要放开时按用途开，用完再关，同时保留写操作的合并确认，不要为了让脚本跑得顺而把审批一并跳过。

备份计划要在装机当天定

备份覆盖数据与静态文件，恢复能力要在体验时真正验证一次，而不是等出事再确认。计划任务的频率按内容更新频率定：每天更新的站按日备份，长期静态的站可以放宽。

改错方向是只备份数据库。静态化产物、上传素材、模板文件不在数据库里，恢复出来是空壳。装机当天就把范围、保留份数和恢复验证三件事定下来，比事后补记录有效。

六个配置面的取向对照

部署方式也会改变检查面

以 AnQiCMS 为例，部署通道可以是宝塔面板、aaPanel、LNMP 命令或者 Docker 镜像，默认监听 8001 端口。走反向代理时，后台入口的暴露范围、证书生效位置、转发后的来源地址是否可读，都要在代理层再核一次；程序侧的默认配置正确，不代表这一层也正确。

常见问题

默认配置全都保持原样最安全吗？不是。默认值是保守取向，但功能需要仍然要满足，比如没有灌水的站不必强行开验证码。判断标准是「改动有没有明确用途」，而不是改动本身。

这些配置改完要不要观察？要。词表、验证码、审核队列三项都会影响正常提交，调整后观察一段时间再判断效果，一次只改一项才便于归因。

高危域默认关闭会不会影响日常使用？影响的是自动化的覆盖面，不是人工操作。需要批量处理时按域开启，处理完关闭即可。

一个判断口径

装机阶段的安全配置，判断标准只有一条：这项默认值是不是在替未来的事故兜底。令牌有效期、审核链路、干扰码、高危操作域、备份范围都属于这类——平时看不出作用，出事时是最能依靠的东西。