大家好，我是卡卡罗特。
AI赛道头部大V卡兹克做了一个实时抓取最新AI信息的网站，叫 AI Hot。
网站流量大增之后，很快就遭到了黑客攻击。这两天也有人一直在攻击他的网站。
他也是边干边学，然后这个网站才逐渐稳定。
其实这也是多数非程序员Vibe Coding项目（尤其是web项目），开放出来给大众用，必然要踩坑的地方。
现在用 AI Vibe Coding，确实能做出一个很好看、功能也很全的网站。
但是如果你真的想把它投入使用，上线给很多人用，甚至达到企业级的标准，难度还是挺大的。
因为这个里面会碰到很多问题，包括代码问题、安全问题、部署问题.....，而且很多问题你压根没听过。你也就无从下手怎么去解决这些问题了。
所以这篇文章就以卡兹克这个web项目为例，从安全角度出发跟大家分享一下，一个真正对外服务的项目，从准备到上线需要采做哪些安全措施？
上线前
Web项目都需要单独部署在一台服务器上。
服务器在主流的云服务器厂商都可以买得到，比如说腾讯云、阿里云....。
如果你是新手，直接买最便宜的就行了。
1. 服务器和端口
购买之后你会得到一个服务器的IP，比如123.123.45.678。
还需要你设置一个root用户的密码。有了IP + 密码之后，就可以远程访问了。
这里密码一定要设置复杂一点，不然很可能会被别人爆破出来。
比如网站一般只需要开放 80 和 443。
SSH 使用的 22 端口也可以限制为只有自己的固定 IP 才能访问。
数据库的 3306、Redis 的 6379，更不能直接暴露在公网。
不然很容易被别人爆破密码，很危险！
2. 域名、备案和 HTTPS
域名
有了服务器之后，相当于有了一个 IP。
如果你要给其他人访问，其实也是可以的，但是要通过 IP 加端口这种方式访问。
比如通过 123.123.45.678:8080 这种方式进行访问，那肯定不行。
用户肯定不愿意记这种数字 IP，而且这样也没有品牌形象。
所以肯定要买一个域名，比如 www.baidu.com，这里的 baidu.com 就是域名。
有了这个域名之后，你就不用记住对应的 IP 了。
比如卡兹克他们公司的域名是：virxact.com
备案
如果服务器放在中国内地，网站还需要进行 ICP 备案。
多人觉得备案很麻烦，其实也不简单🤣
其实还好，是填写一些网站的信息🤔。
备案通过后，所有人都可以在官方备案系统里查到你的备案信息。
比如卡兹克他们的域名查询如下：
那有人会问，是不是有了域名之后，**别人就找不到我的 IP 了？服务器是不是比较安全？**🤔
不是。
有了域名之后，照样可以解析出对应的 IP，比如 ping命令解析 一下。
这其实是计算机网络的基础知识🤔，这里不再多说。
只要域名直接指向原服务器，别人就能看到这个服务器IP。
HTTPS
没有 HTTPS 的话，浏览器一般会提示网站不安全。
用户和服务器之间传输的数据没有被 TLS 加密，账号、Cookie 和提交的内容都可能被窃听或篡改。
所以要给域名配置 TLS 证书，并把所有 HTTP 请求强制跳转到 HTTPS。
证书本身不一定要花钱，Let's Encrypt 等机构可以签发免费证书，但要记得配置自动续期。
3. CDN 和源站保护
域名能访问之后，接下来要解决的是速度和源站暴露的问题。
先说 CDN，什么叫CDN？
假设我们部署的是一个单体项目 ，也就是前端代码和后端代码都放在同一台服务器里。
用户打开网页的时候，需要下载 CSS、JS、图片、字体或者 HTML 等静态文件。这些文件如果每次都从自己的服务器获取，都会占用你服务器的磁盘 IO 和出口带宽。
比如一台常见的服务器是两核4G-3M的服务器。
换算下来，理论上的最高下载速度大约只有每秒 0.375 MB，还没算网络损耗 。如果首页静态资源加起来有 1MB，几个用户同时打开，加载速度就可能明显变慢。
CDN 做的事情，就是把这些静态资源提前缓存到离用户更近的边缘节点。
用户访问网站时，图片、CSS、JS 等文件直接从 CDN 节点返回，不需要每次都从你的服务器获取资源。
CDN有2个明显的好处：
- 不同地区的用户打开得更快
- 极大减少源站的带宽压力。
CDN 还有另外一个作用，就是挡在用户和源站之间。
比如 Cloudflare 这类反向代理和 CDN 服务 ，可以代理你的网站流量，并且隐藏你的源站 IP。
开启代理之后，域名解析出来的不是你服务器真正的 IP，而是 Cloudflare 的边缘节点 IP。用户的请求先到 Cloudflare，再由 Cloudflare 转发给你的服务器。
这样可以挡住一部分恶意流量，也能降低源站 IP 直接暴露的风险。
但是卡兹克这个域名似乎没有开启反向代理🤔。
我找codex确认一下，确实是。这是大问题啊！
我看卡兹克的文章，说是有加CDN的，但是这里没有，不知道为什么🤔
4. 接口权限
上面说的都是一些服务器相关的一些网络层 安全的设置，下面主要是些应用层的。
如果你的网站不需要注册登录就可以操作，那就要格外小心。
读取公开内容可以不登录，但写数据库、删除数据、修改资料、发送邮件、发送短信，调用付费模型这些操作，一定要做身份认证和权限校验。
因为这些操作，很容易被侵略者拿到，然后把服务搞崩。
密钥、数据库密码和 大模型的API Key 也不能写在前端代码里，更不能直接提交到 Git 仓库。
说个有意思的事，Vibe Coding火了之后，很多人把自己的API密钥push到GitHub上，还是公开仓库，这相当于直接把钱丢路边啊！你看别人捡不捡**😅****！**
5. 缓存和限流
高频数据先缓存
我们都知道，一般网站的数据都来自数据库。
如果网站的流量大，用户每次访问，都要从数据库里重新查询，那就有问题了。
攻击者可以通过代码一直调用接口，然后把数据库搞宕机。数据库都宕机了，网站基本就挂了。
所以高频数据不要每次都直接从数据库读取，可以先缓存一下。
很多编程语言和框架都有对应的内存缓存机制，从数据库读取之后放到内存里面，没有的话再从数据库读。
从内存里面读取数据，速度是比数据库快得多的多的。
除了服务器内存，也可以放到Redis中。Redis 的读取速度非常快，适合存放访问频率高、允许短时间不完全实时的数据。
最后再由数据库兜底。用户请求的流程就变成了。
用户请求 → 应用内存 → Redis → 数据库
给关键接口加限流
比直接封禁更常用的做法，是限流。
比如同一个 IP，一分钟最多访问某个接口 60 次。超过之后就返回 429 Too Many Requests，让它等一会儿再请求。
比如卡兹克这个网站是有限流的。
可以看到，上面这个限流是Nginx层面的限流。
当然，限流不能只看 IP。
登录、注册、发验证码、搜索、上传文件，不同的业务场景，接口消耗的资源完全不一样，应该分别设置限制。这些就要在项目代码中进行限流了。
6. 注册防刷
如果你的网站需要注册之后才能使用，注册这里还会踩很多坑。
假设注册时什么要求都没有，只需要填个账号密码，问题就非常大了。
攻击者会找到你的注册接口，然后用脚本批量注册 。因为这些账号信息都要存到数据库里，写数据库的并发是比较低的，批量写数据可能会把你的数据库搞崩。
你的数据库里会突然多出几倍、十几倍的新用户，而且全是没用的垃圾账号 。它们不只占用数据库空间，还可能被用来刷内容 、领权益 、消耗模型额度，甚至继续攻击其他用户。
怎么解决呢？下面提供一些常见思路**🤔****。**
第一层，图片验证码
最简单的方法是加一个文字图片验证码。
但是图片验证码也可以被程序识别，或者被打码平台人工绕过。攻击者非常容易解决。
你改成这种拼图，就比较难识别了。当然，这种AI做起来也稍微比较麻烦。
第二层，邮箱验证
注册时不能只填一个用户名，而是要绑定邮箱。
用户需要填写邮箱验证码，验证这个邮箱确实能收到邮件之后，才允许注册成功。
发验证码这个接口本身也要限流。否则攻击者不一定注册账号，光是反复调用发信接口，就能把你的邮件额度打光。
第三层，临时邮箱
邮箱验证也不是终点，因为现在有很多临时邮箱。
我猜很多人估计很多人没听过这个概念。
可以这么理解，有些服务提供了大量可以临时使用的邮箱地址。你在网站上拿到一个地址，就可以用它注册账号、接收验证码，用完就扔。
比如你在浏览器里面输入临时邮箱关键字，可以看到很多这样提供免费邮箱的网站。
刷新，给你一个邮箱。
临时邮箱的原理并不复杂，买一个域名，再配置一个可以接收任意前缀邮件的中转服务，理论上就能生成近乎无限的邮箱地址。
手动操作嫌麻烦，甚至还可以通过 API，用代码批量读取邮箱里的验证码。🤔
那要怎么解决呢**🤔****？**
最简单的办法，是限制只允许一些常见邮箱注册。
比如只允许 qq.com、163.com、gmail.com 这些邮箱域名。
但这个方案也很粗暴。因为它会误伤使用企业邮箱、自建域名邮箱的正常用户，而且攻击者一样可以批量准备常见邮箱。
当然，解决的办法是多种多样的，一般都是多种方式一起加，一起限流。
7. 内容审核
如果你的网站是UGC平台，允许用户自己发内容，那就更要小心了。
敏感内容和违禁词
用户发布的内容，必须先做敏感信息过滤。
政治敏感、色情、暴恐、赌博、诈骗，这些内容如果出现在你的网站上，不只是账号被平台封禁的问题，严重的还可能涉及法律责任。
所以用户提交的任何文本，都要经过违禁词检测。最简单的方式是接入第三方内容安全服务，各大云厂商都有对应的文本、图片、视频审核 API，可以对用户生成内容做自动机审。
但机器审核不能解决所有问题。擦边内容、谐音词、变形词，机器很容易漏掉。如果平台用户量较大，还需要配合人工审核或者先审后发的机制。
提交频率和限流
发布内容是一个高风险操作。如果不加限制，恶意用户可以用脚本短时间内大量发布垃圾内容。
所以除了注册要防刷，发布内容的接口也要加限流------同一个用户一分钟最多发几条，一天最多发几条。超过阈值就拒绝，并把异常行为记到日志里。
一点想说的
上面讲的一些只是做网站的一些基础心得，也是安全方面的冰山一角。
实际上要维护运营一个网站项目，达到企业级的标准，是非常复杂繁琐的事情。
比如你这个网站如果是需要做营销，那就涉及到SEO。用户根据关键词搜索你的网站才会排在前面，有更大的概率被更多人访问。
那现在有了AI之后。就有了GEO，你网站的内容可以被ChatGPT、豆包、Deepseek这种Agent识别到。
最后，叠个甲。
说这么多，不是降低大家Vibe Coding的欲望，而是提供一种学习的思路给大家🤔。边做边学，边踩坑才会学得更快 🤣
我是卡卡罗特，持续分享对你有用的AI信息～
如果感觉内容不错的话，点个赞在走呗~