PigCMS V6.2 在 V6.1 基礎上大幅擴充功能模組，新增商城系統重構、微信牆、搖一搖、微論壇、行業應用、短信通知、群發介面、模板系統重大升級等 22 項核心功能。本文詳細列出升級清單、安全性檢查要點與生產環境部署建議。
| 檢查項目 | 標準 | 驗證方式 |
|---|---|---|
| 原始碼完整性 | 無後門、無加密混淆、無異常 eval/base64 | 掃描工具: PHP Malware Scanner、RIPS、人工抽檢 |
| 資料庫配置 | 強密碼、最小權限帳號、非預設端口、禁用 root 遠程 | 檢查 conf/db.php、MySQL 用戶權限 |
| 目錄權限 | 遵循最小權限原則、Uploads/Runtime 可寫、其餘唯讀 | find /var/www -type f ! -perm 644; find -type d ! -perm 755 |
| 敏感檔案保護 | conf/、install/、ebak/ 禁止 Web 存取 | Nginx location ~ /(conf|install|ebak)/ { deny all; } |
| 後台路徑修改 | 修改預設 /pi.php 或 /admin.php 為隨機路徑 | 修改入口檔案或 Nginx rewrite |
| HTTPS 強制 | 全站 SSL、HSTS、Secure Cookie | SSL Labs A+、Cookie 設定 Secure/HttpOnly |
| PHP 設定加固 | disable_functions、open_basedir、display_errors=Off | php -i | grep disable_functions |
| 備份策略 | 每日增量、每週全量、異地儲存、定期演練恢復 | 腳本 + crontab + 監控告警 |
server {
listen 443 ssl http2;
server_name pigcms.example.com;
root /var/www/pigcms;
index index.php;
ssl_certificate /etc/ssl/certs/pigcms.pem;
ssl_certificate_key /etc/ssl/private/pigcms.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
# 安全標頭
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
# 禁止敏感目錄
location ~ ^/(conf|install|ebak|Runtime|Uploads)/ {
deny all;
return 404;
}
# 靜態資源快取
location ~* \.(js|css|png|jpg|jpeg|gif|ico|woff|woff2)$ {
expires 30d;
add_header Cache-Control "public, no-transform";
}
# PHP 處理
location ~ \.php$ {
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_param PHP_VALUE "open_basedir=/var/www/pigcms:/tmp";
}
# ThinkPHP URL 重寫
location / {
try_files $uri $uri/ /index.php?s=$uri&$args;
}
}
安全提醒：網路上流通的「破解版」「至尊版」通常植入後門、竄改授權邏輯、移除安全防護，極高風險導致用戶資料洩露、伺服器被植入挖礦程式、遭受勒索軟體攻擊。企業級應用請務必透過官方管道獲取正版授權，獲得安全更新與技術支援。
