网站源代码管理_Git版本控制与团队协作方法
网站源代码备份与恢复。源码备份是网站安全的基础，被黑/误操作/服务器故障时能快速恢复。备份内容：1.网站文件（源代码）——整个网站根目录所有文件（PHP/HTML/CSS/JS/图片/上传文件/配置），注意排除缓存目录（runtime/cache，可重新生成）和大文件（视频/超大附件，单独备份）。2.数据库——所有数据（文章/产品/用户/配置/评论），用mysqldump或phpMyAdmin导出。备份方法：a.手动备份——文件：FTP下载或面板文件管理器打包下载；数据库：phpMyAdmin导出或mysqldump命令。b.自动备份——宝塔面板计划任务（每天备份数据库+每周备份文件，保留7份，可配置上传到云存储）；crontab+脚本（VPS自定义备份脚本，tar打包+mysqldump+上传OSS/COS）；虚拟主机面板自带备份功能。c.异地备份——备份不要只存在同一台服务器（服务器故障/被黑备份也丢），上传到云存储（阿里云OSS/腾讯云COS/七牛）或另一台服务器，或下载到本地硬盘。备份策略：a.频率——数据库每天备份（内容变化频繁），文件每周全量备份+每天增量（文件变化小）；b.时间——凌晨低峰期（2-4点，不影响网站）；c.保留——最近7天每天+4周每周+3月每月（grandfather-father-son策略，不要只保留最新一份，发现被删时好备份已被覆盖）；d.加密——备份含数据库（用户信息/密码hash），加密存储（gpg/zip加密），云存储设私有访问；e.校验——备份后检查文件大小/MD5，确保完整；f.恢复演练——每季度测试恢复一次（恢复到测试环境），确认备份可用（很多人备份了但恢复时发现损坏）。恢复方法：a.文件恢复——上传备份文件到网站目录解压覆盖（或面板文件管理器解压），设置权限（644/755）；b.数据库恢复——phpMyAdmin导入SQL文件，或命令行mysql -u用户 -p 库名 < backup.sql；c.注意——恢复会覆盖当前数据，恢复前备份当前数据（万一备份有问题还能回滚）；大数据库导入可能超时，用BigDump分块导入或命令行；恢复后清缓存测试。备份是网站数据安全的最后防线，「没有备份=数据随时可能丢」，建立自动+异地+多版本+恢复演练的备份体系，数据万无一失。
网站源代码安全审计与漏洞修复。源码安全审计是检测网站程序漏洞（SQL注入/XSS/文件上传/命令执行/CSRF/文件包含等），防止被黑客利用。审计方法：1.工具扫描——a.在线扫描：360网站安全检测、百度安全检测、Sucuri SiteCheck（扫描已知漏洞/挂马/恶意内容）；b.漏洞扫描器：AWVS（Acunetix）、AppScan、Nessus、OpenVAS（专业web漏洞扫描，自动爬取+检测SQL注入/XSS/上传等）；c.代码审计工具：SonarQube、RIPS（PHP代码静态分析，检测漏洞模式）、Seay源代码审计系统（国产，PHP代码审计）；d.木马扫描：ClamAV（杀毒）、宝塔病毒查杀、Web Shell Detector（检测webshell）。2.手动代码审计——a.入口文件：index.php/admin.php，看是否有过滤/验证；b.数据库操作：搜索mysql_query/SELECT/INSERT/UPDATE，看是否直接拼接用户输入（$_GET/$_POST/$_REQUEST直接拼SQL=SQL注入漏洞），应该用预处理语句（PDO prepare/mysqli prepare）或转义；c.输出：搜索echo/print，看用户输入是否直接输出（没htmlspecialchars转义=XSS漏洞）；d.文件上传：搜索move_uploaded_file/$_FILES，看是否验证文件类型（白名单）/大小/内容，上传目录是否禁PHP（没验证=上传漏洞，可传webshell）；e.文件包含：搜索include/require，看是否包含用户可控文件（文件包含漏洞）；f.命令执行：搜索system/exec/shell_exec/passthru，看是否执行用户可控命令（命令执行漏洞）；g.认证/授权：登录/后台是否验证用户身份，是否有权限检查（越权漏洞）；h.配置文件：config.php是否含明文密码，权限是否640，是否在Web可访问目录外。3.漏洞修复——a.SQL注入：用预处理语句（$pdo->prepare("SELECT * FROM users WHERE id=?")->execute([$id])），或mysql_real_escape_string转义（不推荐，预处理更好），不要直接拼接用户输入；b.XSS：输出用户输入用htmlspecialchars($var, ENT_QUOTES, 'UTF-8')转义，或用模板引擎自动转义，设置CSP（Content Security Policy）头；c.文件上传：白名单验证文件类型（只允许jpg/png/gif/pdf等），验证文件内容（检查文件头，防图片马），重命名文件名（防覆盖/执行），上传目录禁PHP执行，限制文件大小；d.命令执行：不要用用户输入拼系统命令，必须用时escapeshellarg/escapeshellcmd转义，或用PHP函数代替系统命令；e.CSRF：表单加token验证（随机token，提交时验证），敏感操作（改密码/删数据）验证token+二次确认；f.文件包含：不要包含用户可控文件，白名单包含固定文件；g.越权：每个操作验证用户身份和权限（登录验证+角色权限检查），不要只靠前端隐藏；h.配置安全：config.php权限640，放在Web目录外（如果可以），不要提交到公开Git（.gitignore排除），数据库密码用强密码；i.依赖更新：composer更新第三方库（vendor/）到最新版（修复已知漏洞），删除不用的库。4.审计后——a.修复所有高危漏洞（SQL注入/上传/命令执行/RCE，必须修）；b.中危漏洞（XSS/CSRF/越权，尽量修）；c.低危/信息泄露（版本号/路径暴露，修）；d.重新扫描验证修复效果；e.定期审计（每季度或程序大改后）。源码安全是网站安全的基础，程序有漏洞再强的服务器防护也可能被突破（WAF能拦截大部分但0day/绕过可能），定期审计+及时修复漏洞，减少攻击面。
用户真实体验：「源码安全审计用了在线扫描+手动看数据库查询，发现有SQL注入漏洞（直接拼接$_GET），改成预处理语句就修好了，审计很有必要」「性能优化后从4秒降到1.8秒，主要是OPcache+图片压缩+CSS合并+浏览器缓存，代码层面优化效果明显」。
经验总结：网站源代码是网站的核心资产，管理好源码网站稳定、安全、可维护。核心经验：1.备份是底线——没有备份=数据随时可能丢（被黑/误操作/服务器故障），自动+异地+多版本+恢复演练，数据库每天+文件每周，备份加密，每季度测试恢复；2.版本控制——用Git管理代码（可回滚/对比/协作/分支），新手也建议学基础Git（commit/pull/push/branch），比手动备份方便；3.规范修改——本地/测试环境改好再上传，小步修改每次测试，用专业编辑器（VS Code/PhpStorm），不要用记事本（BOM头），不要直接改生产环境，改前备份，出问题立即回滚；4.搞清文件作用——入口文件（index.php）、配置（config.php）、核心（include/core，不要随便改）、模板（template，改外观）、后台（admin）、上传（upload，用户数据不要删）、缓存（runtime/cache，可删），改对应需求的文件不要瞎改；5.安全第一——代码安全（预处理防注入/转义防XSS/上传验证/命令转义/CSRF token/权限验证），配置安全（config权限640/不在Web目录/强密码），定期审计（工具+手动，高危漏洞必修），依赖更新（composer update），删除测试/备份文件；6.性能优化——代码层面（减少数据库查询/避免N+1/缓存结果/OPcache/释放内存），数据库（索引/优化查询/分表），前端（合并压缩CSS/JS/图片/懒加载/字体），缓存（浏览器/服务器/CDN），目标首屏3秒内；7.SEO友好——语义化HTML（h1-h6/nav/article），动态title/meta（每页唯一），H标签层级，图片alt，结构化数据（JSON-LD），响应式，HTTPS，网站地图/robots，面包屑；8.升级注意——程序升级前备份，看升级文档（是否有不兼容变更），核心文件会被覆盖（改了核心要重新改或做插件/子主题），升级后测试所有功能，第三方依赖（主题/插件）兼容性；9.二次开发——在原有程序基础上定制，先读程序架构和文档，用程序提供的钩子/插件/模板机制（不要直接改核心，升级不覆盖），改配置/模板/自定义功能文件，代码加注释（改了什么/为什么），交付维护文档；10.遇到问题——白屏开错误显示（error_reporting/display_errors）看日志，乱码统一编码（UTF-8/utf8mb4），修改不生效清缓存，语法错误看错误信息（文件+行号），500看服务器错误日志，数据库错误看数据库日志，从简单到复杂排查（先配置/权限/缓存，再代码/数据库）。掌握这些，网站源代码管理从『瞎改』变『专业可控』，网站长期稳定安全运行。
更新时间：2026-08-27 13:17:14