在互联网上运行一个个人网站，安全是不可忽视的基石。即使你的站点流量不大，也可能成为自动化攻击的目标。本文将以“林傲の主页”这样的个人站点为场景，梳理一套实用的安全防护体系，涵盖从网络层到应用层的多个维度。

1. 基础防护：HTTPS 与域名安全

1.1 启用 HTTPS

HTTPS 是安全通信的第一步，它加密浏览器与服务器之间的数据传输，防止中间人攻击。现代浏览器也会对没有 HTTPS 的站点标记“不安全”。

推荐使用 Let's Encrypt 免费证书，配合 certbot 等工具自动续期。对于 Nginx 服务器，典型配置如下：

server {
    listen 443 ssl http2;
    server_name yourdomain.com;
    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
    # 其他安全配置...
}

同时建议开启 HSTS（HTTP Strict Transport Security），强制浏览器仅通过 HTTPS 访问。

1.2 域名安全与 DNSSEC

在域名注册商处开启 DNSSEC（域名系统安全扩展），防止 DNS 劫持和缓存投毒。此外，启用域名锁定和两步验证，避免域名被盗。

2. 服务器与网络层防护

2.1 防火墙配置

使用 iptables 或云服务商提供的安全组，只开放必要的端口（如 80、443、SSH 端口）。对于 SSH 端口，建议修改默认的 22 为高位端口，减少暴力破解尝试。

同时可以安装 fail2ban，自动封禁多次登录失败的 IP。

2.2 SSH 安全

• 禁用 root 直接登录，使用普通用户 + sudo。
• 使用 SSH 密钥认证，关闭密码登录。
• 限制可登录 IP 范围（如通过安全组或 /etc/hosts.allow）。

2.3 DDoS 防护

个人站点一般无需昂贵的硬件防护，但可以利用 Cloudflare 等 CDN 服务免费套餐隐藏源站 IP，并抵御小规模 DDoS 攻击。同时配置速率限制（rate limiting），避免接口被恶意刷量。

3. 应用层安全

3.1 保持软件更新

及时更新操作系统、Web 服务器（Nginx/Apache）、数据库（MySQL/PostgreSQL）和 CMS（如 WordPress）的核心与插件。许多攻击利用的是已知漏洞，定期更新能堵住大部分缺口。

3.2 防御常见 Web 攻击

SQL 注入：使用参数化查询或 ORM 框架，永远不要拼接用户输入到 SQL 语句中。

跨站脚本（XSS）：对所有用户输入进行转义或过滤，设置 Content-Security-Policy 头限制脚本来源。

跨站请求伪造（CSRF）：在表单中加入随机 token，验证请求来源。

3.3 安全 HTTP 头

在 Web 服务器配置中添加以下响应头，增强浏览器安全性：

add_header X-Frame-Options