Daiying CMS 安全基础

先保护目录边界

生产环境的 Web 根目录应指向 public/。config、storage、system、scripts、tests、content/plugins、content/themes 等目录不应被浏览器直接访问。

上传目录安全

content/uploads/ 用于保存上传文件，不应允许执行 PHP/CGI 脚本。上传文件应按媒体或附件处理，不应成为代码入口。

密钥和凭据

• 不要在文章、截图、公开日志中暴露 API Key、Token、Client Secret、Webhook Secret、数据库密码或 SSH Key。
• 每个站点使用独立 encryption key。
• 生产环境不要复用测试密钥。

更新安全

Core 更新应使用签名和完整性校验通过的包。来源不明的压缩包不应直接覆盖生产站。