从零搭建二级域名做网站全攻略：避开高价陷阱，自己动手更省钱

找建站公司怕被坑高价，这事儿谁没遇到过？建站公司一口价报价，结果后期各种隐藏费用不断，你压根儿不知道自己到底花了多少钱。现在自己动手做网站，尤其是用【二级域名做网站】的方式，从零搭建，不仅能省下一大笔冤枉钱，还能掌握核心技能，以后想改、想换、想优化都随心所欲。

威胁场景：别以为二级域名就安全

别以为选了个“小众”域名就万事大吉了。很多企业主以为“二级域名做网站”就是注册一个域名，然后在主机上部署，结果忽略了网站安全问题，导致网站被黑、数据泄露、SEO被降权，甚至被搜索引擎拉黑。特别是使用 WordPress 或其他 CMS 系统的网站，如果安全防护不到位，更容易成为黑客攻击的目标。

实际案例：某电商网站通过二级域名搭建，初期流量不错，但没做任何安全防护措施，半年内就被黑了两次，数据库被篡改，用户信息被盗，网站也被搜索引擎下架，损失惨重。

二级域名虽然看起来像“主域名”的分支，但技术上是独立的，因此在配置上容易被忽视，造成安全漏洞。常见的攻击手段包括：

这些攻击手段的底层原理都和网站代码、服务器配置、用户输入处理等有关，而二级域名网站如果部署不当，这些漏洞会更加暴露。

既然问题出在代码与配置，那就从这两方面入手进行加固。下面以 WordPress 为例，说明关键防护配置与代码修改建议。

问题代码示例（PHP）：

$username = $_GET['username'];
$query = "SELECT * FROM users WHERE username = '$username'";

修复后的代码：

$username = sanitize_text_field($_GET['username']);
$query = $wpdb->prepare("SELECT * FROM users WHERE username = %s", $username);

说明：使用 WordPress 自带的 sanitize_text_field() 和 $wpdb->prepare() 函数对用户输入进行过滤和参数化，可以有效防止 SQL 注入与 XSS 攻击。

修复方案（HTML + PHP）：

HTML 表单添加 token：

<input type="hidden" name="csrf_token" value="<?php echo wp_create_nonce('secure_form'); ?>">

PHP 验证 token：

if (!wp_verify_nonce($_POST['csrf_token'], 'secure_form')) {die('非法请求');
}

说明：使用 WordPress 的 wp_create_nonce() 与 wp_verify_nonce() 函数生成并验证 token，可以有效防止跨站请求伪造。

修复方案（.htaccess 配置）：

<FilesMatch "\.(php|pl|py|jsp|asp|sh|cgi)$">Order Allow,DenyDeny from all
</FilesMatch>

说明：通过 .htaccess 文件限制对某些危险文件类型的访问，防止用户上传并执行恶意文件。

如果你已经搭建好了二级域名网站，那现在该做的是排查漏洞，及时修复。以下是几个常用工具和检测步骤：

这些工具能帮你自动扫描常见的漏洞类型，比如 SQL 注入、XSS、CSRF、目录遍历等。

WordPress 网站中，很多漏洞都是因为插件或主题没有及时更新。进入后台，点击“更新”，确保所有插件、主题与 WordPress 核心都处于最新版本。

如果你有服务器访问权限，可以查看 Apache 或 Nginx 的日志，寻找异常 IP 或请求路径，如 http://yourdomain.com/admin.php、http://yourdomain.com/../../../../etc/passwd 等，这些都是常见的攻击路径。

Cloudflare 文档中提到，其 DDoS 防护、WAF（Web 应用防火墙）以及 SSL 加密等功能，能够有效提升网站安全等级。

Cloudflare 配置建议：

为了帮助你更系统地提升网站安全等级，这里列出一份二级域名网站的安全加固清单，建议按照优先级逐一处理：

域名注册：选择正规注册商，确保域名有效期不短于 1 年。
SSL 证书：为你的二级域名申请 SSL 证书，确保网站加密通信。Cloudflare 提供免费的 SSL 证书，只需开启“Always Use HTTPS”即可。
HTTPS 强制跳转：在 .htaccess 或 Nginx 配置中添加 301 重定向，确保所有 HTTP 请求自动跳转到 HTTPS。