按框架
按框架的安全防护 — 针对你所用技术的守护方法
针对 WordPress、Laravel、Next.js、Spring 等每一种框架，汇总『危险的默认配置、最常被利用的弱点、加固步骤』的入口页。威胁的类型是共通的，不同的只是各框架的“默认陷阱”。从你自己所用技术的章节开始，以防御视角讲解，不含攻击步骤。
“Laravel 安全”“WordPress 加固”——我们检索时，往往是“按所用技术”去找答案。本页是通往按框架防护的入口（不含攻击步骤）。
共通（每种框架都一样）
访问控制、密钥管理、注入、依赖 CVE、配置错误。防御的地基也是共通的。
框架特有（各章节讲解）
「危险的默认配置」和「在该技术上最常被瞄准的位置」。因技术而异的只有这里。
所有框架共通的“弱点类型”
先看全局。以下这些类型不分技术、被反复利用；各框架章节则把它们落到“在该技术上会以什么形式出现”。
按框架划分的指南
请阅读你所用技术栈的章节。每章都按“默认危险 → 最常被瞄准的位置 → 加固步骤”的顺序展开。
WordPress
Laravel
Next.js
Java / Spring
其他框架
本站的视角：框架是工具，事故出在运营
争论“这个框架安全/危险”往往帮不上忙。真实的事故大多并非源自核心的 bug，而是来自“用法”——疏于更新、密钥泄露、缺失授权、危险的默认配置。本站自身就运行在 Next.js 上，我们的主要防线并无特别的魔法：监控依赖的 CVE、不把密钥放进代码和公开目录、强认证、可恢复的备份。每个框架章节，都不过是把这套地基用“该技术自己的语言”具体化而已。
先夯实共通的地基
在深入某个框架章节之前，先把在任何技术上都有效的东西夯实，效率更高。
- 入门：安全底线清单（王国之钥、密钥、打补丁、检测、恢复）
- 实操：漏洞（CVE）应对实务 · 监控依赖包的 CVE（osv-scanner）
- 密钥：不把密钥放进公开目录
接下来读
- 指南：WordPress 安全 · Laravel 安全
- 地基：安全底线清单（所有框架共通）
- 术语：CVE 是什么（追踪框架已知漏洞的单位）
FAQ
Q按框架来看，哪一种最危险？
与其说存在『危险的框架』，不如说存在『危险的用法』，这才是本质。不过从攻击者的角度看，“数量越多＝越有攻击价值”，因此拥有全球最大份额的 WordPress（及其插件）在统计上最常被瞄准。即便如此，任何框架的事故大多也并非源自核心本身的 bug，而是来自运营层面：疏于更新、密钥泄露、缺失授权、危险的默认配置。所以，比起给框架排危险名次，堵住自己这套技术栈的陷阱更为实用。
Q越新的框架就越安全吗？
并不一定。较新的框架往往带有更安全的默认值，但同时实战履历也较浅（存在未知的漏洞），且开发者尚不熟悉、更容易产生配置错误。反过来，历史悠久的框架经过长期打磨、较为稳固，但也会因旧版本被放任不管（EOL）以及大量插件/依赖而暴露出弱点。归根结底，真正有效的做法始终是：跟进版本、理解危险的默认值、并做分层防御。
Q该从哪里开始做防护？
先夯实所有框架共通的地基（监控依赖包的 CVE、不把密钥放进代码与公开目录、强认证、备份）。在此之上，再打开你实际使用的框架章节，逐个堵住该技术“特有的”默认陷阱（例如 WordPress 的插件管理、Laravel 的 APP_DEBUG/授权）。