香港云服务器开机后必须按「权限锁死→端口防护→环境加固→网站防护→定期备份→风险巡检」顺序完成全套安全设置，新手只需对照清单逐项执行，即可杜绝暴力破解、挂马篡改、CC攻击、后门植入等99%常见建站安全事故，避免裸机上线引发的网站宕机、收录清零、数据丢失问题。
一、账号权限安全：杜绝暴力破解根源
服务器绝大多数安全漏洞，均源于初始账号权限过宽、密码过于简单，是新手最容易忽略的核心隐患。
- 修改ROOT/管理员默认密码
操作前提：服务器首次开机、未对外部署业务、未开放外网全端口。
具体步骤：登录服务器控制台或SSH终端，重置最高权限账号密码，密码必须包含「大写字母+小写字母+数字+特殊符号」，长度不低于16位。
验证方法：退出账号重新登录，确认新密码生效，旧密码无法登录。
风险说明：简单密码、默认初始密码会被全网扫描工具秒破解，直接导致服务器被接管、挂马、挖矿植入。
- 禁止ROOT远程登录，新建普通运维账号
具体步骤：新建低权限运维账号，日常登录、建站操作全部使用新账号；修改SSH配置文件，关闭ROOT账号远程登录权限，仅保留本地控制台登录权限。
验证方法：尝试用ROOT账号远程SSH登录，提示登录失败即为设置成功。
核心作用：彻底拦截90%以上的SSH暴力破解攻击，即便外网端口被扫描，也无法穿透权限入侵服务器。
二、端口与安全组防护：封堵外网攻击入口
香港服务器默认无内地防火墙拦截，公网IP全程暴露，未规整端口会被持续扫描、攻击，是网站异常卡顿、宕机的主要原因之一。
- 精简放行端口，关闭无用端口
必放端口（建站刚需）：22（远程连接，可自定义修改）、80（HTTP访问）、443（HTTPS加密）、8888（宝塔面板）。
必关端口：3306、21、3389等默认高危端口，禁止外网直接访问数据库、FTP服务。
操作步骤：进入云服务器后台安全组策略，清空默认全放通规则，仅手动添加刚需端口，其余端口全部拦截。
- 修改默认SSH端口
具体步骤：将默认22端口修改为10000–60000之间的自定义端口，修改后重启SSH服务，同步更新安全组放行端口。
验证方法：旧22端口无法连接服务器，新自定义端口可正常SSH登录。
风险说明：默认22端口是全网攻击扫描重点，不修改会持续遭受暴力破解，占用服务器资源。
三、宝塔面板与运行环境加固
多数新手安全问题不在服务器底层，而在面板环境漏洞、后台暴露、权限宽松，需针对性加固。
- 固定面板入口，开启登录防护
修改宝塔默认面板路径，避免默认地址被扫描；开启面板IP白名单，仅允许本地办公IP登录后台；开启登录验证码、异地登录提醒、多次失败锁定功能，锁定时长建议设置10分钟以上。
- 关闭环境多余功能，修复漏洞
禁用PHP危险函数、关闭目录浏览权限、禁止脚本跨目录运行；定期在宝塔软件商店修复Nginx、MySQL、PHP已知漏洞，禁止残留未修复的高危漏洞。
- 数据库外网访问封禁
严格禁止MySQL数据库外网访问，仅允许127.0.0.1本地连接，杜绝数据库被拖库、数据泄露风险。
四、网站程序与文件安全设置
针对WordPress、企业官网等建站程序，从文件权限、上传规则、恶意脚本三方面防护。
- 规范网站目录权限
网站根目录禁止777全开权限，仅保留必要读写权限；禁止前台用户随意上传PHP、JS等可执行脚本，拦截恶意后门上传。
- 安装基础安全插件
建站程序后台安装正规安全插件，开启木马扫描、恶意请求拦截、异常登录检测功能；定期查杀挂马文件、后门脚本，及时清理可疑文件。
- 开启全站HTTPS与伪静态
部署SSL证书并强制HTTPS跳转，杜绝明文数据传输被劫持、篡改；配置标准伪静态规则，避免动态链接暴露程序漏洞。
五、备份机制：服务器最后一道安全防线
所有安全设置仅能降低攻击概率，无法杜绝极端故障，自动备份是新手必须落地的兜底操作。
具体设置：宝塔面板开启「网站+数据库」自动备份，备份周期设置为每日一次，保留最近7天备份文件；同时手动留存离线备份，不将所有备份存放在同一服务器。
验证方法：定期测试备份恢复功能，确认备份文件完整、可正常恢复全站数据。
六、日常巡检与监控设置
新手无需复杂运维，只需开启基础监控，及时发现异常风险。
开启服务器CPU、内存、磁盘占用告警，磁盘占用超80%及时清理冗余文件；开启网站访问日志、异常请求记录，定期排查高频异常IP；禁止长期闲置高危插件、未使用的源码文件残留服务器。
七、新手最终安全检查清单（可直接对照勾选）
✅ 已修改服务器最高权限账号高强度密码
✅ 已新建普通运维账号，关闭ROOT远程登录
✅ 已修改SSH默认端口，关闭无用高危端口
✅ 已设置安全组精细化放行，无全端口开放
✅ 宝塔面板已设置白名单、锁定登录、修改默认入口
✅ 数据库禁止外网访问，PHP危险函数已关闭
✅ 网站目录权限规整，禁止恶意脚本上传
✅ 全站HTTPS生效，无明文访问漏洞
✅ 自动备份+离线双备份机制已开启
✅ 服务器资源监控、异常告警已配置
