Web 服務器是面向互聯網的最高暴露面。本文彙總代碼層、數據庫層、作業系統層、網絡層、組件層五大維度的加固清單，每條均為實戰驗證有效措施。

1. 數據庫安全配置（核心資產保護）

• 最小權限帳戶：Web 應用連接數據庫使用唯讀/讀寫分離帳戶，嚴禁 sa/root/admin 直連。
• 模塊級權限隔離：不同功能模塊（新聞瀏覽、用戶中心、支付）使用不同帳戶/權限。
• 存儲過程白名單：僅啟用業務必需存儲過程，徹底禁用 xp_cmdshell、sp_OA*、sp_executesql 等危險擴展過程。
• 參數化查詢/預編譯：代碼層面徹底杜絕 SQL 拼接，使用 ORM/參數綁定。
• 審計日誌：啟用數據庫審計（登入失敗、DDL/DML 敏感操作、權限變更），日誌異地存儲不可篡改。

2. 輸入驗證與輸出編碼（代碼層首要防線）

• 嚴格參數過濾：長度、類型、格式、字符集白名單（正則），拒絕列表不可靠。
• 輸出編碼：HTML/JS/CSS/URL/SQL/LDAP 不同上下文對應編碼函數，防 XSS/注入。
• 統一過濾框架：全局 Filter/Interceptor/Middleware 統一處理，避免漏網之魚。

3. 管理後台鐵桶防護

• IP 白名單/VPN/堡壘機：僅允許管理網段/跳板機訪問 /admin、* /manage、* /backend。
• 強認證：MFA (TOTP/硬件鑰匙)、單點登入 (SSO)、會話超時短、並發限制。
• 操作審計：所有管理操作記錄操作人、時間、IP、前後值，不可刪改。

4. 作業系統層面最小化與加固

• 移除/重命名高危系統工具：cmd.exe、tftp.exe、ftp.exe、net.exe、wscript.exe、cscript.exe、regsvr32.exe、powershell.exe（若無業務需求） → 移至受保護目錄並 ACL 限制。
• 服務最小化：禁用非必要服務（Print Spooler、Remote Registry、WebClient 等）。
• 文件系統 ACL：Web 目錄唯讀（寫入權限僅授予上傳目錄/緩存目錄），執行權限徹底分離（上傳目錄禁用執行，腳本目錄禁用寫入）。
• 補丁管理：月度補丁日 + 緊急漏洞 48h 內修復，WSUS/SCCM/Ansible 自動化。
• 啟用 Windows Defender Exploit Guard / EMET 替代品：ASLR、DEP、CFG、任意代碼防護 (ACG)、受控文件夾訪問。

5. 網絡訪問控制與流量清洗

• WAF (Web Application Firewall)：雲 WAF (Cloudflare、阿雲盾、AWS Shield) 或本地 WAF (ModSecurity、OpenResty+Lua)，規則集同步 OWASP CRS + 虛擬補丁。
• DDoS 防護：接入高防 IP/任何流量清洗服務，配置四層/七層緩解策略。
• 安全組/防火牆微隔離：Web 服務器僅開放 80/443 入站，出站僅允許訪問數據庫/緩存/消息隊列/授權 API 端點。
• HTTPS 全站強制：HSTS (max-age=31536000; includeSubDomains; preload)、OCSP Stapling、TLS 1.2+、強加密套件、證書透明度監控。

6. 內容過濾與惡意代碼攔截

• 上傳文件：類型白名單 + 魔數驗證 + 病毒掃描 (ClamAV/商業引擎) + 重命名存儲 + 非執行目錄 + 獨立域名下載。
• 用戶輸入富文本：XSS 過濾庫 (DOMPurify/HTMLSanitizer) + CSP 標頭。
• 響應頭安全加固：X-Frame-Options: DENY、X-Content-Type-Options: nosniff、Referrer-Policy: strict-origin-when-cross-origin、Permissions-Policy、CSP。

7. 第三方組件/框架/供應鏈安全

• 組件清單 (SBOM)：生成並維護項目所有依賴（直接/間接）清單，包含版本、許可證、CVE 狀態。
• SCA 掃描集成 CI/CD：Dependency-Check、Snyk、OWASP Dependency-Track、GitHub Dependabot、GitLab Dependency Scanning。
• 及時升級/替換有漏洞組件：關注 CVE、NVD、廠商公告，制定升級 SLA。
• 警惕複製貼上代碼：StackOverflow/博客/教程代碼常含漏洞，必須審查測試後再用。

8. 持續監控與應急響應

• 日誌集中化：Web/應用/數據庫/作業系統/網絡設備 → SIEM。
• 關鍵告警：Web 攻擊特徵 (SQLi/XSS/RCE/路徑遍歷)、異常登入、權限提升、大量錯誤響應、流量異常。
• 蜜罐/欺騙技術：部署偽裝管理後台、假數據庫、假 API 端點，誘捕並告警攻擊者。
• 定期滲透測試 + 紅藍對抗，驗證防禦有效性。

Web 服務器安全沒有銀彈，只有纵深防禦。代碼規範、數據庫最小權限、系統最小化、網絡微隔離、WAF/高防、組件治理、持續監控，七層疊加，才能讓駭客「進得來、出不去、拿不到、留痕跡」。