打开360网站安全检测的网站网站首页，输入框就杵在正中央，安全白底蓝边，检测旁边一行小字写着“免费检测网站安全隐患”。网站网站我头一回用它大概是安全2015年，帮朋友看一个刚上线的检测企业站，输完域名点“立即检测”，网站网站等了不到两分钟，安全报告出来了——SQL注入、检测XSS跨站脚本、网站网站后台弱口令，安全红黄相间列了一长串。检测朋友脸都绿了，网站网站他那站点外包给大学生做的安全，花了三千块，检测结果连最基本的参数过滤都没做。

这工具本质上是把一些自动化扫描能力开放给普通人。原理不复杂：爬虫抓取页面链接，往表单和URL参数里塞测试payload，看服务器回显有没有异常。它能查的东西挺固定——SQL注入、XSS、CSRF、目录遍历、敏感文件泄露、服务器配置错误。你提交域名后，它先从首页爬起，顺着链接往下走，能爬多深取决于站点结构。有些站用JS动态渲染内容，它爬不到，报告就会显得很干净，这时候别高兴太早。

我注意过一个细节：360这套检测对国内常见建站程序有专门的指纹库。你用织梦、帝国、WordPress搭的站，它识别得特别快，因为知道这些CMS的默认路径和已知漏洞在哪。有次我拿一个改了后台路径的WordPress站去测，报告里关于wp-admin的告警明显少了，但插件目录的暴露问题还是被揪出来。这说明它的规则库确实在更新，不是摆设。

但别把它当万能药。免费版只扫一层，不登录、不深入业务逻辑。支付漏洞、越权访问、逻辑缺陷这些，它碰都碰不到。我见过一个电商站，360检测全绿，结果用户改个URL里的订单ID就能看别人的收货地址。这种问题得靠人工渗透测试，自动化工具没戏。

报告的可读性还行。每个漏洞给风险等级、位置、修复建议。修复建议有时候太笼统，比如“对用户输入进行过滤”，具体怎么过滤、用什么函数，它不细说。对不懂安全开发的站长来说，看了等于没看。我一般会结合它给的URL和参数，自己再手工验证一遍，确认是不是误报。误报率不算低，尤其是XSS那块，有些反射型告警其实被WAF拦了，但扫描器不知道。

速度方面，小站几分钟，大站可能跑半小时以上。它有限速，不会往死里请求，这点比某些激进扫描器厚道。不过遇到有反爬机制的站，它可能直接卡住，报告一直转圈。这时候换个时间段再试，或者把检测深度调低。

用久了会发现，这工具最适合两类人：一是刚上线个人博客或小企业站的新手，花几分钟跑一遍，把低垂的果实摘了；二是安全运维做日常巡检，批量扫一批域名，看有没有新冒出来的配置问题。真正做渗透测试的，不会依赖它，但会拿它当信息收集的起点——先看看目标暴露了什么，再决定从哪深入。

360自己说这服务累计检测了多少亿次网站，数据真假没法验证。但有一点是真的：国内很多中小站长根本不知道自己的站有漏洞，直到被挂马、被篡改首页才反应过来。有个免费工具让他们至少能看见一部分问题，哪怕只是冰山一角，也比闭着眼睛强。

最后说个实际体验。检测报告里有个“安全评级”，从A到F。我见过一个政府下属单位的站，评级D，漏洞列表里赫然写着“phpinfo()信息泄露”和“备份文件可下载”。联系他们技术，对方说“我们内网，没事”。三个月后那站被拖库了。工具给了警告，人不当回事，再好的扫描器也救不了。