内容摘要：dedecms根目录下有个install文件夹，装完系统后它还在那儿。这东西留着就是隐患——别人跑一遍安装流程，你的数据库配置可能就被覆盖了。我见过好几个站被黑，源头就是没删install。直接整个文

dedecms根目录下有个install文件夹，可删装完系统后它还在那儿。文件这东西留着就是可删隐患——别人跑一遍安装流程，你的文件数据库配置可能就被覆盖了。我见过好几个站被黑，可删源头就是文件没删install。直接整个文件夹删掉，可删别犹豫。文件

类似的可删还有member目录里的uploads文件夹。如果你没开放会员上传功能，文件里面那些测试文件、可删临时文件全是文件垃圾。删。可删但注意，文件如果用了会员系统且允许上传头像，可删这个目录得保留，只是要检查权限设置对不对。

根目录下还有几个零散文件：index.php.bak、tags.php.bak这类带.bak后缀的备份文件。有人改代码前习惯复制一份，改完忘了删。这种文件通过URL能直接访问，里面可能暴露数据库密码、后台路径。看到就删，没商量。

data目录是个重灾区。里面的backup文件夹存的是数据库备份，文件名通常带日期。如果网站跑了一年，这里可能堆了几十个sql文件，每个几MB到几十MB。占空间不说，一旦被下载，整个数据库就裸奔了。我的做法是：本地留一份备份，服务器上只保留最近三天的，其余全删。另外data/cache里的缓存文件可以定期清空，但别删文件夹本身，dede会自动重建。

templets目录下有个default文件夹，这是系统默认模板。如果你已经用了自己的模板，这个文件夹可以删。但有个坑：有些插件或功能会调用默认模板里的特定文件，比如plus目录下的某些页面。删之前先搜一下代码里有没有引用templets/default的路径。没有？那就删。

根目录下的robots.txt文件，如果你没特意写过，那它可能是dede自带的。里面可能写了允许蜘蛛抓取/data/和/install/。这等于告诉搜索引擎：来爬我的备份文件和安装目录。要么改掉，要么直接删了重新写一个。

plus目录里有一堆ad_*.php文件，是广告管理相关的。如果你从来没用过dede的广告模块，这些文件留着就是给攻击者多几个入口。我一般会删掉ad_click.php、ad_js.php这些，但保留plus目录本身，因为其他功能可能依赖它。

还有uploads目录下的userup文件夹，这是用户上传的临时目录。如果网站没有用户上传功能，里面应该是空的。如果里面有东西，说明要么被人传了shell，要么是旧数据残留。清空，然后把这个文件夹的权限设为不可写。

最后说个容易忽略的：tags.php文件。dede的tag功能会生成静态tag页面，但tags.php本身是动态入口。如果你用的是伪静态或者已经生成了静态tag，这个文件可以删。但删之前确认一下后台的tag设置，别把功能搞挂了。

删文件这事，核心原则就一条：用不到的就删，不确定的先备份再删。别指望什么安全插件能帮你兜底，少一个文件就少一个被利用的可能。我每次帮人清理dede站，删完这些文件后，用扫描工具再跑一遍，通常能少掉一半的告警。