盘点

是否把密钥文件遗忘在了公开目录里：webroot 盘点

放进 webroot 的文件，任何人都能通过 URL 取走。令牌或认证凭据的 JSON、.env、备份一旦遗忘在那里，就会立即暴露；如果源自共用模板，所有站点都带着同一个文件。对策：公开目录只放可以公开的东西，密钥放在 webroot 之外并设为权限 600，一旦发现一处，就排查所有站点和主机。