高新区有一家公司的技术负责人跟我吐槽说：上次做了安全加固结果把正常的业务功能也给影响了客户投诉了好几次领导把我骂了一顿。这个问题确实很典型今天来讲讲怎么做安全加固的同时保证不影响正常业务。
安全加固为什么会搞坏功能
这种情况我见过不少主要原因有这么几个。WAF 规则设置过于严格——把正常的业务请求也当成攻击拦截了比如 POST 请求里有 JSON 数据被误判为 SQL 注入；安全头设置不当——加了 CSP（内容安全策略）之后内联脚本和外部资源被阻止导致页面显示不全；HTTPS 强制跳转配置错误——某些老旧接口还在用 HTTP 跳转之后调不通了；权限控制收紧过度——某些合法的操作也被禁止了。那家公司就是 WAF 的规则库更新之后把含有特定关键词的正常订单数据给拦了导致客户下单失败。
正确的加固流程
规范的安全加固应该遵循这个流程。第一步先做全面的资产盘点——搞清楚你的网站有哪些接口哪些页面哪些功能哪些是核心业务哪些可以容忍短暂中断；第二步在测试环境先做——所有的安全配置变更先在测试环境验证确认没问题再推到生产环境；第三步分级实施——不要一次性把所有安全措施都上了先上风险最高收益最大的逐步推进；第四步灰度发布——新规则先对少部分流量生效观察一段时间没问题再全量开放；第五步做好监控和回滚准备——实时监控业务指标一旦出现异常立即回滚到之前的配置。我还建议建立一个安全变更审批制度——任何安全相关的配置变更都要经过评估和审批不能由一个人擅自决定。
常用的安全加固清单
给大家列一份基础的安全加固清单按优先级排序。P0（必须立即做）：修复已知漏洞——定期扫描并修补系统和应用层面的高危漏洞；启用 HTTPS 全站加密——这是最基本的安全要求；设置安全的 Cookie 属性——HttpOnly Secure SameSite 防止 XSS 窃取；P1（尽快做）：部署 WAF 防护——拦截常见的 Web 攻击但要合理配置规则白名单；启用 CSP 头——防止 XSS 但要先测试排除正常资源；限制管理员登录——改默认路径开启二次验证限制 IP 访问；P2（建议做）：定期备份数据——异地存储定期验证可恢复性；安全日志审计——记录关键操作便于事后追溯；依赖组件更新——定期检查第三方库是否有已知漏洞并及时更新。自贸区南宁片区有一些做跨境业务的因为涉及数据出境合规他们的安全加固要求更高甚至要做等保测评。
总结
安全加固这件事核心原则是渐进式推进而不是一步到位——每上一个安全措施都要验证它不会影响正常业务。你在南宁搞技术的如果也在为安全和业务的平衡发愁可以来聊聊我分享一些实战经验免费的。