帮多家机构做过上线前安全评估------这份20条检查清单按「高危/中危/基础」分级，动手对照打勾。
- 高危5条：管理后台强制复杂密码+二次验证；全站HTTPS；SQL预编译查询（防注入）；文件上传类型白名单+重命名；敏感操作（导出/删除/改课时）二次确认+留痕。
- 中危8条：登录失败锁定策略；会话超时自动登出；接口鉴权覆盖（防越权访问他人数据）；管理后台IP可选白名单；验证码防撞库；日志脱敏（手机号/身份证）；备份文件不放在Web目录；第三方依赖 CVE 扫描。
- 基础7条：统一错误处理（不泄露堆栈）；目录列表关闭；管理员默认口令修改；数据库账号最小权限；定时任务权限隔离；https强制跳转；页面防点击劫持header。
- 检查方法：一半靠代码审计（注入/越权），一半靠工具扫描（依赖漏洞/SSL配置）------自己不方便做的，用云平台免费安全检测兜底。
- 落地建议：把清单转成上线流程的Gate------20条全绿才发布------安全不是Feature，是底线。
你家的上线检查有多少条？评论区交流👇