给网站增加360webscan安全过滤

网站上线后，最常见的威胁就是各种自动化扫描和 SQL 注入尝试。除了在代码层面做好参数过滤，还可以在入口处加一层统一的安全过滤。360webscan 就是一套部署简单、拦截范围较广的 PHP 安全过滤脚本，本文记录完整的接入步骤。

一、准备工作

1. 下载与解压

从可靠来源获取 360webscan 的源码压缩包，解压后会看到一个名为 360safe 的目录，里面包含主过滤脚本 360webscan.php 以及配置文件 webscan_cache.php。

2. 放置位置

把整个 360safe 目录放入网站根目录即可。如果你的站点已经混乱，也可以放到其他目录，但要记住实际路径，因为下一步引入时路径必须对应。

二、接入脚本

1. 在入口文件引入

找到站点的入口文件（通常是 index.php），在文件的最开头处引入过滤脚本：

require_once('360safe/360webscan.php');

要求放在最前面，是因为它需要在其他业务代码执行之前先完成请求检查，否则过滤就失去了意义。

2. 验证生效

引入后访问站点，触发一次带异常参数的请求（例如在 URL 里拼接明显的注入字符），如果被拦截并返回拒绝页面，说明过滤已经生效。

三、配置白名单与规则

1. 设置白名单

webscan_cache.php 中集中存放了各类配置项。如果某些正常请求被误拦截，可以把对应的 IP 或请求特征加入白名单，避免影响正常业务。

2. 自定义过滤规则

该文件同样支持添加额外的过滤规则。建议先观察一段时间的拦截日志，再根据实际情况补充，不要盲目加大拦截强度，否则容易误伤正常的表单提交。

3. 定期查看拦截记录

过滤脚本运行后会产生拦截记录，建议养成定期查看的习惯。从中既能发现正在被攻击的接口，也能识别出是否存在误拦截的正常请求。攻击来源集中的 IP 可以直接在服务器层面封禁，把过滤脚本与服务器防护结合起来，整体效果会更好。

关键配置提示

• 引入语句必须放在入口文件最前面，保证先于业务代码执行
• 出现误拦截时优先在 webscan\_cache.php 中加白名单，而不是直接下线过滤
• 过滤脚本只是补充手段，代码层面的参数化查询仍不可省略