什么是网站防篡改
网站被黑，首页突然变成博彩页面，或者跳转到不明链接——这种情况不少站长都遇到过。网站防篡改，就是防止未经授权的人员修改网站内容的技术措施。尤其对于企业官网、政府门户这类对公信力要求高的站点，一旦被篡改，轻则影响形象，重则造成法律风险。
文件完整性监控
这是最基础也最有效的防篡改方式之一。系统会定期扫描网站目录下的所有文件，记录每个文件的哈希值（比如MD5或SHA-256）。一旦某个文件被修改，哈希值就会变化，系统立刻报警并可自动恢复原文件。
例如，一个静态HTML页面原本是：
<!DOCTYPE html>
<html>
<head><title>公司官网</title></head>
<body>欢迎访问我们的主页</body>
</html>如果被插入了恶意跳转代码：
<script src="http://malicious.com/ads.js"></script>系统在下一轮检测中就能发现差异，并触发告警或回滚机制。
Web应用防火墙（WAF）
WAF不仅能防SQL注入、XSS攻击，还能识别异常的文件上传和写入行为。比如黑客通过漏洞上传了一个PHP后门，WAF可以基于规则拦截这类请求。常见的防护规则包括：禁止向/uploads/目录写入可执行脚本、拦截包含eval、system等危险函数的请求参数。
操作系统级权限控制
很多篡改事件源于服务器权限配置不当。正确的做法是：网站运行账户使用最小权限原则，不赋予写权限。例如，在Linux系统中，将网站根目录设为只读：
chmod -R 755 /var/www/html
chown -R www-data:www-data /var/www/html同时禁止Apache或Nginx以root身份运行，避免一旦被攻破就获得整个系统控制权。
实时备份与自动恢复
即便有防护，也不能保证百分百安全。部署定时快照和实时备份机制，能在被篡改后快速还原。比如使用rsync每天凌晨同步一次干净版本，或结合Git管理网站代码，一旦发现问题，立即reset到上一个可信提交。
页面动态加载与前端保护
部分敏感内容可以通过接口动态加载，而不是直接写在HTML里。比如公司公告、联系方式等信息从后台API获取，即使静态页面被改，核心信息也不会丢失。同时对关键JS文件做混淆和完整性校验，防止被替换。
日志审计与行为分析
开启详细的访问日志和操作日志，记录谁在什么时候修改了哪些文件。通过分析日志中的异常行为，比如深夜突然出现大量POST请求到admin.php，可以及时发现潜在入侵。配合SIEM工具实现自动化告警。
CDN缓存锁定
利用CDN的缓存机制也是一种变相防护。将正常页面缓存在边缘节点，并设置较长TTL，即使源站被改，用户看到的仍是缓存中的干净页面。部分CDN还支持“缓存锁定”功能，禁止源站更新内容，必须手动解封才能刷新。