站点运营里，大家更常盯着 URL、Sitemap 和内容更新，但服務器上的目錄權限和上传目錄配置，往往在出事之後才被想起来。一個上传目錄如果既能寫又能执行脚本，被塞進一個文件就可能變成挂马頁面；蜘蛛顺着站内連結抓過去，轻則抓走一堆垃圾 URL，重則让站点在搜尋结果里出現異常摘要。權限問题不一定會立刻让站点打不開，却會悄悄影响抓取质量和站点信誉。
為什么上传目錄要單獨對待
正常頁面目錄通常只需要讀取權限，上传目錄却必须允许寫入。寫和执行如果放在同一個目錄，風險就叠在一起了。攻击者不需要拿到服務器帳號，只要找到一個能上传文件的功能，就可能把脚本传進来並直接訪問。對蜘蛛来说，這些被上传的頁面一旦能被訪問，就可能被当成站内正常内容抓取和索引。
權限自查的目标不是把目錄鎖死到無法运营，而是让“能寫的地方不能执行，能执行的地方不能随便寫”。
常见權限配置誤区
- 上传目錄權限给到 777：為了图省事把所有權限打開，任何進程都能寫入和执行，出問题时很难追溯。
- 目錄可寫但未禁止脚本执行：上传目錄里放了图片和附件，同时也允许 .php、.jsp 等脚本直接執行。
- 缓存和日誌目錄與站点目錄混在一起：缓存文件被直接訪問，日誌目錄寫满分区後拖慢整站响應。
- 备份文件放在 Web 根目錄下：压缩包、資料库導出文件能被直接下载，蜘蛛也可能抓到這些地址。
- 權限設定後没有复查：程序升級、迁移或恢复备份後，權限被重置回預設值，却没人發現。
一份可执行的自查清單
- 列出所有允许上传的目錄，確認它們與程序代碼目錄分開存放，尽量放在 Web 根目錄之外，或者通過獨立域名提供訪問。
- 检查上传目錄權限，目錄一般设為 755 或更嚴格，文件设為 644，不要長期使用 777。
- 在上传目錄的服務器配置中關閉脚本解析。以 Nginx 為例，可以對该目錄匹配到脚本後缀时返回 403 或 404；Apache 則可通過配置禁止执行。
- 检查缓存目錄、日誌目錄和临时目錄的所属用戶，避免 Web 進程對代碼目錄有寫權限。
- 確認 Web 根目錄下没有 .sql、.zip、.tar.gz、.env、.git 等不该公開的文件。
- 查看最近上传目錄里是否出現陌生脚本文件，尤其是文件名随机、内容很短、带加密代碼的文件。
- 把權限检查加入例行巡检，至少在程序升級、服務器迁移和恢复备份後各做一次。
發現問题後的處理顺序
如果已经發現可疑文件，先不要只删文件就結束。更稳妥的顺序是：先隔离站点或關閉上传入口，再备份現场日誌和文件列表，接着排查入口来源——是上传功能校驗不足，還是弱口令被登入，或是依赖组件存在已知問题。清理干净後再收紧權限，最後观察一段時間訪問日誌和抓取日誌，確認没有新的異常請求。
處理過程中還要留意搜尋引擎侧的反應。如果挂马頁面已经被抓取，及时清理並提交死鏈或使用移除工具，同时检查 robots.txt 是否誤封了正常目錄。權限問题處理完後，別急着马上改 canonical 或重定向，先让站点稳定執行几天，再看抓取和索引資料的變化。
把權限检查變成日常動作
目錄權限不是設定一次就永遠安全的配置。程序會更新，插件會新增，运维人員會變更，任何一次操作都可能让權限回到方便但不安全的狀態。把上传目錄、缓存目錄、日誌目錄和备份文件路径寫進站点运营清單，定期看一眼，比出事後再翻日誌省力得多。對蜘蛛来说，一個干净、可预测的站点结构，永遠比一個充满意外入口的站点更容易抓取和理解。