在本地主机上托管CMS的安全好处

Question

如果我在本地主机上为我的在线网站主持CMS，这是否意味着没有人可以在线访问它？如果不是，您的CMS最安全的存储方式是什么？

Answer 1

如果您的CMS正在监听127.0.0.1 ("localhost")，而不是您系统上的任何其他IP地址，那么是的，没有人能够在线访问它。当您登录到正在运行的计算机时，您将是唯一能够访问它的人。

这是不寻常的，这将是你想要的，但嘿，也许你只是想使用你的CMS作为个人库。如果是这样的话，那就好好玩吧。

如果您的目标是保护您的CMS，但仍然允许其他人访问它，这不是一个适当的步骤。如果是这样的话，我会从谷歌搜索“如何保护XXXX”开始，其中XXXX是你CMS的名字(wordpress，drupal，什么的)。任何主要的CMS都会有描述标准安全步骤的指南。

Answer 2

假设您在本地运行服务器，并在本地服务器上放置本地Drupal/WordPress等CMS，则可以将其配置为不为外部世界所访问。

但是，听起来好像你真的想要一个“在线”网站，而这个网站并不能真正发挥作用。

如果您想安全地使用CMS，gowenfawr是正确的，只需查找如何‘硬化(cms名称这里)’。但是把它放在你的电脑上对你并没有多大帮助。理论上，您可以保留网站的本地版本，然后将其放到主机服务器上(ftp可能不是最好的，因为您正在寻找安全性)。这将使您保持对您的家庭服务器的控制，并在那里进行更改，然后推送到联机。

但假设你把整个事情都推到了公共服务器上，这仍然会让在线cms面临潜在的攻击。无论哪种方式，我认为您最好的选择是查找如何硬化您的cms并安全地连接到它。

例如，您将不想通过http和公共wifi连接登录到WordPress管理，因为您可以轻松地获取密码。

Answer 3

它将是安全的，因为其他人将无法访问它。但是，如果他们这样做了，那么您就不应该在本地运行，因为您自己的计算机可能会受到恶意用户的危害。

但是，请注意，根据CMS，仍有可能出现以下情况：

• 可能存在XSS缺陷。如果CMS正在显示来自您在线网站的内容(例如用户评论)，即使您在本地主机上查看，任何注入的脚本仍将运行如果存在漏洞。当然，XSS对攻击者可能用处有限，但是如果他们知道CMS，并且足够聪明，他们可以通过编写正确的脚本来更新站点上的内容。
• 如果存在这样的漏洞，CMS仍将面临CSRF的风险。如果攻击者知道您正在本地运行，并且知道CMS，那么他们仍然可以制造攻击。

这些通常我会考虑非常低的风险，除非你有一个具体的威胁，以你的网站。

另一件要考虑的事情是从CMS到网站的传输机制。例如，任何数据库连接。您应该确保这是加密和认证，否则您的流量从CMS将容易受到人在中间。检查它是否使用对此安全的传输，例如TLS。