浏览器地址栏里那个小锁图标，安全很多人根本没点开看过。安全点开之后呢？安全弹出一串文字，写着“连接安全”，安全然后大多数人就关掉了。安全这事儿我干过无数次，安全直到有次帮朋友看他的安全小电商站，才发现问题没那么简单。安全

他那站刚上线两个月，安全流量不大，安全但每天总有几笔订单。安全我随手点了下锁图标，安全证书信息显示颁发给“example.com”——不是安全他的域名。也就是安全说，用户以为在跟他的安全店交易，实际上数据先经过了一个陌生服务器。朋友当时脸就白了。后来查出来是虚拟主机商默认套了一层CDN，证书没配好。用户输入信用卡号的那一刻，信息是加密的，但加给谁看，只有中间那台服务器知道。

安全的网站，第一层是传输层。HTTPS不是万能药，但没它万万不能。我见过不少小站为了省事，直接用主机商送的共享证书。共享证书本身没问题，问题是有些主机商把证书签给了主域名，子域名跟着蹭。蹭来的加密，就像借别人的门锁装自己家门上——锁是好的，钥匙在别人手里。Let's Encrypt把证书成本降到了零，但配置这件事，省不得。

第二层在服务器端。有次我扫一个朋友的博客，发现他用的WordPress插件三年没更新。我问他为什么不升级，他说怕升了出问题。结果呢？没升的那个插件有个SQL注入漏洞，攻击者能直接读数据库里的用户表。他博客没几个人看，但爬虫不管这个，扫到漏洞就塞后门。后来他的站被用来发垃圾邮件，主机商直接把账号封了。安全的网站不是功能多炫，是补丁打得勤。这话听着像老生常谈，但老生常谈之所以是老生常谈，就是因为总有人不当回事。

第三层更隐蔽——用户输入的处理。我做过一个实验，在自己搭的测试站上故意留了个XSS漏洞。然后我在评论区贴了一段看似普通的留言，里面藏了段脚本。任何点开这条评论的人，cookie都会被发到我的服务器上。整个过程不需要用户点任何链接，不需要下载任何东西。就看了一眼。安全的网站得把用户输入当敌人对待，每一个尖括号、每一个单引号，都得过滤或者转义。这不是偏执，这是基本功。

还有一层容易被忽略：第三方资源。你站自己写得再安全，引了一个被黑的统计脚本，照样完蛋。我见过一个案例，某网站引用的jQuery是从一个非官方CDN加载的，那个CDN某天被入侵，脚本被替换成挖矿代码。访客打开网站，CPU直接跑满。网站主自己访问时没感觉，因为他浏览器缓存了旧版本。安全的网站得管住自己引用的每一个外部资源，能用本地就用本地，能用SRI校验就加上。

说回我朋友那个电商站。后来他换了主机商，自己申请了Let's Encrypt证书，装了WAF，把所有插件更新到最新，又把用户输入全部过了一遍过滤函数。折腾了整整一个周末。我问他累不累，他说累，但至少现在点开锁图标，证书信息里写的是他自己的域名。用户输密码的时候，他知道数据直接到了自己服务器上，没经过别人手。

安全的网站不是装个插件就完事，也不是买个证书就高枕无忧。它是一堆细节的叠加：证书对不对、补丁打没打、输入过滤了没、第三方资源可信不可信。每一个环节都可能出问题，而用户只看那个小锁。锁亮了不代表安全，但锁不亮，连安全的门槛都没摸到。下次你打开一个网站，点开那个锁图标看看，证书签给谁的。如果签给别人的域名，你输的每一个字，都可能正在别人的服务器上裸奔。