```html

网站安全责任书

上个月，我帮朋友处理了一起因为网站后台弱口令被入侵的安全事。攻击者没用什么高深手段，责任就是网站拿常见密码字典跑了一遍，结果他那个用“admin123”当密码的安全运维账号直接被撞开。数据库里几万条用户手机号和地址被拖走，责任第二天就有人接到诈骗电话。网站朋友后来跟我说，安全他以为网站小、责任没人盯，网站可现实是安全——自动化扫描工具每天会光顾任何一个能访问的IP，不分大小。责任

这件事让我觉得，网站网站安全责任书这东西，安全不能只挂在墙上当装饰。责任它得落到具体的人头上。谁管服务器？谁写代码？谁审核上传的文件？一旦出事，找谁？很多小团队连个专职运维都没有，开发顺手就把服务器搭了，密码设成生日，端口全开，日志从来不翻。这种情况下签一百份责任书也没用，因为责任根本没被“认领”。

责任书的第一条不该是“遵守法律法规”这种空话。它应该写清楚：谁持有最高权限的账号密码，并且必须启用双因素认证。别小看这一条。我见过太多团队把数据库密码写在代码注释里，然后代码上传到公开的Git仓库。你问他为什么，他说“方便”。方便和安全的边界，往往就是一次事故的距离。

还有文件上传。很多网站允许用户传头像、传附件，但后台只检查了扩展名。攻击者传一个“shell.php.jpg”，服务器如果配置不当，照样当PHP执行。责任书里得明确：上传目录必须禁止脚本执行权限，并且每个上传文件都要重命名、存到独立路径。这些不是建议，是底线。谁负责配置，谁就签字。

数据库权限也得单独拎出来。我见过一个论坛，Web应用连数据库用的是root账号，而且密码是“root”。一旦SQL注入成功，攻击者直接就能读写整个数据库，甚至通过MySQL的into outfile写webshell。正确做法是：给每个应用单独建库、单独建用户，只给必要的增删改查权限，禁止drop、禁止file权限。责任书里要列出这个账号的负责人，以及多久换一次密码。

日志呢？很多网站根本不记日志，或者记了但从不看。等发现被入侵，想溯源都没办法。我建议责任书里加一条：至少保留最近30天的访问日志和错误日志，并且每周由指定人员抽查一次异常请求。比如半夜三点大量POST请求到登录接口，或者同一个IP短时间访问几千次，这些都是明显信号。没人看，日志就是硬盘里的垃圾。

最后说备份。别以为做了备份就万事大吉。我见过备份文件放在网站根目录下，名字叫“backup.zip”，结果被直接下载走。备份必须放在Web目录之外，并且定期做恢复演练。你问“恢复演练”是什么意思？就是真的把备份文件拿出来，在测试环境里还原一次，看看数据全不全、能不能用。不演练的备份，跟没有差不多。

这份责任书不需要多长，一页纸就够。关键是每一条后面都有人名和日期。谁签了字，谁就得负责。出了事，别说什么“我以为”“我不知道”。网站安全不是靠运气，是靠一个个具体的人把具体的事做到位。你偷懒，攻击者就勤快。就这么简单。