为法式厦门大学网站征战91 萝莉，进步厦门大学网站征战水平，厦门大学信息与采集聚心辘集了互联网和厦门大学部分网站征战东谈主员的教授和心得推出本最好执行。本网站征战最好执行触及作事器，网站征战，好意思工等实质。要是需要托福其他软件厂商征战，请把本文档发给对方参考。要是有任何看法或者淡薄，请发邮件到 vhost # xmu.edu.cn 。谢谢。
作事器
当今信息与采集聚心提供托管作事器，托管臆造机，托管臆造主机，网站群等作事。具体可视察 。
作事器是否私有用途
作事器应当只作念网页和数据库用途，请不要为了传输文献便捷在作事器上安设qq，ftp等客户端软件，作事器越浅显，遭到黑客挫折才越容易看出面绪。
是否选拔了正确的操作系统
PHP+MySQL应部署在Linux作事器下，尽量不要部署在Windows作事器上。Java淡薄部署在Linux作事器上。ASP和ASP.NET部署在Windows作事器。Linux作事器尽量不要作念过多的自界说，软件使用包措置器安设。更高档用户可使用诸如Puppet，Chef等配置措置器具配置作事器。安设的操作系统和数据库体式的开端应着实，要是是迅雷下载的ISO文献应磨练官方的MD5值。
是否启用了安全更新
作事器应保持更新到最新，Windows把自动更新大开。Linux把安全包自动安设大开。Windows淡薄安设Windows 2008 64位及以上。Linux诸如Ubuntu应安设LTS 64位版块。
是否启用了动态磁盘扩展功能
作事器应启用动态磁盘功能，便捷后期凭据需求扩展磁盘大小。Windows淡薄2008以上，使用“动态磁盘”，Windows 2003动态磁盘不如2008生动。Linux淡薄使用LVM。把var和根目次分开。
是否配置并启用了防火墙
作事器应配置并启用防火墙。要是临时排查失误需要暂时关闭防火墙，应在排查完再行大开防火墙。防火墙规矩凭据需求，一般网站只通达80端口。通达部分IP地址的3389和22端口。应当不容MySQL和SQLServer的汉典打听功能，关闭他们对应的端口。
是否作念了备份
要是你的数据莫得备份，那你不错觉得这个数据是不存在的。应当至少有一个备份，这个备份不应当在吞并台机器，要是有要求，应把备份作念在他乡。开源备份器具不错接头BackupPC、Amanda、Bacula。个东谈主备份不错接头 areca 。
是否使用了域名而不是IP部署
作事器有要求应尽量使用域名打听而不是IP打听。作事器应可救济IPV6。Web诈骗应只开在80端口。要是一个作事器需要开多个Web诈骗，应采选基于域名的臆造主机时代或者采选开臆造目次的方法而不是采选不同端口的方法。
是否救济IPV6
最新的操作系统已默许救济IPV6，应给作事器配置固定的IPV6地址。体式代码也应救济IPV6，保存打听者的IP地址的字段应约略容纳IPV6地址长度。分析IP地址的代码应能救济IPV6体式。
作事器代码和数据等目次是否了了
Web诈骗，应当只分为底下5个脚色：
体式代码。体式代码应试虑放到诸如SVN，Git等源代码版块规模器具内措置，在作事器备份时，体式代码无需备份，再行部署时只需再行下载体式代码即可。
第三方体式。第三方体式包括操作系统光盘，数据库安设文献，诈骗框架代码，报表控件等安设文献，这些为可下载到的文献，保留是为了部署便捷，可无用备份。
数据库。
数据或者上载文献。上载文献目次淡薄通盘Web诈骗唯有一个，要是可能，请放到Web诈骗外面，树立为弗成推论，使用杀毒器具杀毒。
日记。
在目次结构上，淡薄以上5个脚色目次结构了了。Windows桌面应干净，像处女座相通。可变的数据库和数据或者上载文献应跟操作系统分区别开，以防在操作系统崩溃后该分区还可读。日记文献由于会握住加多，要是莫得logrotate机制，应把日记地方的分区孤苦分出，以免日记空间推广占用扫数磁盘空间影响通盘系统无法操作。
是否使用了强密码91 萝莉
是否使用了监控器具
数据库
是否诈骗了孤苦用户，最小权限原则
Secure By Default的另一层含义等于最小权限原则。最小权限原则亦然安全筹办的基本原则之一。最小权限原则要求系统只授予主体必要的权限，而不要过度授权，这么能有用地减少系统、相聚、诈骗、数据库出错的契机。比如在Linux系统中，一种精致的操作民风是使用平日账户登录，在推论需要root权限的操作时，再通过sudo号召完成。这么能最大化地缩短一些误操作导致的风险；同期平日账户被盗用后，与root帐户被盗用所导致的恶果是饱和不同的。
是否为止了Web数据库措置器具的权限
不应当在Web部署作事器部署数据库措置器具，比如PHPMyAdmin，要是要部署，应当为止IP打听，树立强密码，剔除无关账户。
是否莫得在源代码版块规模系统内部保存数据库等密码
不应当在版块规模系统诸如Git，SVN内保存诸如数据库密码和发送邮件账户的密码等，应当把这些写入配置文献，配置文献不放入版块规模系统，只摈弃模板配置文献供征战修改使用。
后台体式
是否有使用框架协助征战
应选拔一个框架以收缩征战责任量。框架的选拔应是选拔社区活跃度最高，更新较平庸，安全的框架。PHP可选拔CakePHP，Symfony，Zend。Python可用Django，轻量级可用web.py。ASP.NET使用微软自带的MVC或者WebForms。JavaScript框架可选拔MVC框架包括AngularJs、Ember.js、Backbone.js、Knockout等，展示框架可选拔JQuery UI、Bootstrap等。
是否关闭了调试方法
坐褥环境应当关闭调试信息。
是否有对用户的输入进行搜检过滤
代码应不信任用户的任何输入，URL衔接或者表单数据皆是不错经心伪造的。
是否有着重注入轻佻
是否有着重跨站剧本挫折 Cross-site scripting (XSS)
是否有着重跨站域央求伪造 Cross Site Request Forgery (CSRF)
是否有着重点击劫持 Clickjacking
是否对密码进行了加密保存
加密应当加盐再纲领保存。
是否对密码、登录等部分作念了防暴力破解搜检
应为止密码输入失误的次数，为止单个IP对某个敏锐资源央求的次数。
是否对程小序件地方目次树立只读和弗成推论权限树立
程小序件地方目次应当树立只读，更新代码后再行树立权限。上载目次树立可写弗成推论，以防被上载木马。
是否对下载文献进行了全面的保护
下载文献应放在Web目次除外。下载领先判断权限，再去系统读取需要下载的文献，通过甚部输出content-type和content-disposition attachment;filename=等提供文献名。不应在一个页面判断完权限后奏凯重定向到的确的文献下载，这么有可能被奏凯下载或者被迅雷等器具记载文献地址而被盗链。ASP.NET可使用Response.TransmitFile加快下载。
是否使用UTF8体式保存源代码和展示网页
是否接头了外欧化 i18n
是否对每个需要登录权限的页面皆作念了完善的搜检
Hongkongdoll 露脸应酬每个需要登录的页面在体式最起先搜检用户的权限。不应漏掉提交的页面，因为用户有可能奏凯构造数据提交。
网站前端
是否有参考了Yahoo!的Best Practices for Speeding Up Your Web Site
页面筹办
是否已烧毁使用形象首页
形象首页也叫扉页，不应在网页使用扉页。有些网站有中英文版，不同运营商相聚选拔，或者打听首页领先是参预一段动画或者Flash，点击后才参预信得过的首页。这个页面导致用户打听需要多点击一次，关于网站的SEO也较为不利，应奏凯参预首页，中英文版通过右上角切换。
是否如故不再使用table布局
table应当只作念大批数据展示使用，不应当使用table来布局。应使用Div布局。即使在页面莫得CSS的情况下通盘网页也可玩忽打听。
是否采选一些语义化的标签
不错使用一些语义化的标签。也可给DIV等起上通用的名字，比如新闻标题界说class或者id为news_title，新闻实质界说class或者id为news_content。便捷机器抓取。
是否有作念适握机和平板浏览的页面
可使用反应式布局。
是否进行了SEO优化
不应使用flash。站点应当有站点舆图，站点舆图目次结构了了。URL好意思不雅。不应使用汉文文献名。源代码尽量减少非语义化的实质。可在META头部里加入要害字等信息。
网站性能
是否在上线前对网站性能进行了评估
网站性能评估可使用Apache基金会的ab进行，也可采选LoadRunner等生意器具。PHP可用xdebug + webgrind定位性能瓶颈。PHP可安设诸如APC等加快器具。可采选Nginx或者Squid等器具加快网站。
其他
要是有任何看法或者淡薄，请发邮件到 vhost # xmu.edu.cn 。谢谢。