Linux下H5开发环境与数据库安全配置

　　我原以为就是换个数据库驱动的事。2026年4月12号下午，雨下得像服务器机柜里漏了冷凝水，滴滴答答敲在阳台铁皮棚上。老张在群里发了个裂开的表情包，配字：“php.ini又双叒崩了”，我没回——正蹲在/var/www/html/h5/底下翻error_log，第十七次grep“mysqli_real_connect”。

　　查一下收录。打开站长平台。等三秒。刷新。再等。光标还在转圈。这时候听见隔壁电钻声突突突地捅穿承重墙，震得我桌上那包没拆封的白沙烟盒微微发颤。查一下收录——不，先看数据库连接池状态。查一下收录——算了，先看nginx access.log里有没有“HTTP/1.1 502”。

　　掉了一半。不是预估，是数出来的：三百七十二个词，现在只剩一百六十三个有快照。不是灰的，是空的——点进去直接404，连302跳转都没留。我敢打包票这不是爬虫没来，是来了，但压根没把那个页面当“页面”：meta robots是index,follow，canonical写得工工整整，连sitemap.xml都手动校验过三次。可它就是不收。那天晚上八点四十七分，客户小王微信语音进来，第一句是：“首页关键词‘H5开发环境配置’昨天还排第三，今天搜不到。”我没接话，因为手机屏上正弹出MySQL慢查询日志里的第七条：SELECT FROM config WHERE env = ‘dev’ AND status = 1 ——这表根本不该在生产库里存在。

　　跟人吵架。就在前天下午三点零五分，运维老李甩过来一条命令行截图：“你那套docker-compose.yml里mysql服务暴露了3306到宿主机，防火墙又只拦了外网，内网全通。刚查出来有个测试用的phpmyadmin，账号root密码还是123456。”我盯着屏幕看了十七秒，想起上周四我亲手给前端团队搭完Vue本地调试服之后，顺手把.env.example改名成.env还commit推上去了。里面写着DB_HOST=192.168.1.202，DB_USER=admin，DB_PASS=linux123——而那个IP，正是测试服务器的内网地址。我原以为只是方便联调，结果爬虫蜘蛛真就顺着config.js里的/api/config接口，一路GET到了后端返回的明文数据库连接串。谁干的？不是黑产，是百度搜索自己的JS渲染引擎。它真会执行那段fetch代码，也真会把response.text()里的host字段当URL去爬——爬进了你自建的伪静态路由黑洞里。

　　阳台衣服没收。蓝牛仔裤挂着，滴着水。打印机卡纸了三天没人管，硒鼓漏粉把Linux服务器巡检记录单染成浅灰色。我不屑。真不屑。那些天天喊“内容为王”的，自己连MySQL的secure_file_priv设在哪都不知道。去年冬天帮朋友查站群被封原因，翻他备份目录发现，整个/wp-content/plugins/下，三百一十七个插件文件夹里，有二十六个带着readme.html，里面赫然写着“Version: 1.0.7 – 2022-03-18”，而CVE-2022-21376早在同年五月就打了补丁。他跟我说：“反正流量不大，凑合用。”结果搜索引擎没凑合——整站索引清零，连首页快照都退回到2021年。不是算法变了，是人家把你的/dev/目录当入口页抓了半年，最后判定：这是个沙箱测试站，不是真实业务站点。

　　所以优胜劣汰站得住脚吗？站得住。不是靠嘴喊，是靠数据库日志里那一串真实的connection_id暴涨曲线。你改一次MySQL的bind-address，加一行skip-networking，删一个public/.env.bak，少放一个phpinfo.php，搜索引擎就多信你一分——它不信你写的SEO文案，但它信你对端口、对文件权限、对临时目录的敬畏程度。2026年4月16号凌晨两点，我在/root/.bash_history里翻到三条命令：rm -rf /var/lib/mysql/testdb；chown -R www-data:www-data /var/www/html/h5；setfacl -Rm u:www-data:rx /etc/mysql/conf.d/。做完这些，第二天早上九点，三百七十二个词里回升了四十五个。不多，但都是原来没快照的。说明啥？说明它早盯上你了，就差你主动交一份“我已清场”的声明。

　　我对自己骂了不下五次。第四次是在咖啡凉透之前——客户催第二版上线，我边输git push边回他：“好了。”其实没好。数据库配置文件还是软链接指向/home/dev/db.conf，而那个目录下还有两份十年前的备份sql.gz。第五次是在重启nginx之后，看见access_log里突然密集出现User-Agent带“Baiduspider-render/2.0”的请求——它们不是来抓html的，是来测JS执行链路完整性的。我把那行location ~ \\.js$ { add_header X-Content-Type-Options nosniff; } 注释掉了，因为“前端说会影响调试”。结果呢？调试没调成，倒把蜘蛛的沙箱执行环境喂饱了，它当场认定这个H5应用是动态构造页面，拒收所有非首屏路径。

文章配图，仅供参考

　　后来我在技术论坛看到个帖子，标题叫《如何让百度识别H5单页应用的真实结构》，底下最高赞回复是：“别让它识别。”——不是反爬，是把该关的口子关死，该藏的路径藏进.htaccess deny from all，该移走的配置文件移出web root。你越折腾“怎么让它认”，它越当你心虚。不如躺平，让它自己跑着跑着，发现你服务器连phpmyadmin都404，连/phpinfo.php都返回503，连/robots.txt里都不再写Allow: /api/ ——它反而觉得：嗯，这是个正经干活的。

　　明天先把手上那批页面删一半试试。不是删内容，是删那些写着“dev_mode=true”的隐藏API入口，删掉webpack配置里自动注入的window.DEBUG_CONFIG，删掉CI/CD流水线里那条echo “DB_PASS=${DB_PASS}” >> /tmp/log.log。至于阳台那条牛仔裤……让它继续滴水吧。等我先改完my.cnf里的local_infile=OFF再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!