DEDE織夢cms常用的參數標簽匯總、以及操作過程中的一些bug問題解決方法，dede網站二開，以下龍騰飛網絡科技-小吳在建站實操中筆記記錄，織夢dede建站教程保存使用非常方便：
【DEDE建站教程】織夢cms網站防止木馬操作
織夢CMS在安裝完成后，新人往往會直接開始開發使用，忽視了一些安全優化的操作，這樣會導致后期整個系統安全系數降低，被黑或者被注入的概率極高，畢竟這世界百分百存在著極多的無聊hacker對全網的網站進行掃描，掃到你的站，所以在開發前做好安全防范還是很有必要的
安全設置前：操作前，先備份
安全設置一：刪除系統文件
安裝完成后會有一些文件，可以說是冗余文件，完全沒有作用，反而帶來被黑的危險，刪除即可，以下目錄文件均可刪除：
/install 【安裝后的余留文件，沒用，整個文件夾刪除】 /member 【會員功能文件，大數企業站沒用，文件夾刪除，若需要會員功能的就不能刪】 /special 【專題功能，如果你不需要這個功能，文件夾刪除，需要就別刪，大部分是不需要的】 /tags.php 【TAG標簽，沒有此功能可刪除】
安全設置二：網站后臺目錄dede要刪除的文件
/dede/tpl.php 【文件上傳管理系統文件，易被掛馬，強烈建議刪除或者不用時請改名（tpl備用.php）】 /dede/templets_*.php 【模板管理功能，老手建議刪除，使用FTP管理】 /dede/media_*.php 【附件數據管理功能文件，易被掛馬，刪除(用你的FTP管理文件就可以了，別用這個)】 /dede/file_*.php 文件式管理器功能控制器文件，易被掛馬，刪除(用你的FTP管理文件就可以了，別用這個) /dede/mytag_*.php、mytag_tag_*.php 【自定義標記管理，易被上傳一句話木馬】 /dede/story_*.php 【小說功能，可刪除】 /dede/erraddsave.php 【糾錯功能，可刪除】 /dede/feedback_*.php 【評論管理，可刪除】 /dede/group_*.php 【圈子功能，很少用到，可刪除】 /dede/co_*.php 【采集控制文件，可刪除】 /dede/cards_*.php 【點卡功能功能，可刪除】 /dede/ad_*.php 【廣告管理添加/刪除文件，企業站一般不用可刪除】 /dede/spec_*.php 【專題管理，沒有專題頁面，可刪除】 /dede/vote_*.php 【投票功能，可刪除】 /dede/sys_sql_query.php 【SQL命令運行器，不需要的話可以改名為（sys_sql_query安全禁用.php）也可以刪除】
安全設置三：目錄/plus要刪除的文件
正常的企業站可以只保留list.php、view.php、count.php、search.php、diy.php(企業站經常用到的表單)五個文件以及img文件夾，其他全部刪除。
/plus/guestbook 【留言簿模塊，整體刪除，容易SQL注入及垃圾留言】 /plus/task和task.php 【計劃任務控制文件，文件夾和文件都刪除】 /plus/bookfeedback.php、bookfeedback_js.php 【圖書評論和評論調用文件，存在注入漏洞，不安全】 /plus/bshare.php 【分享插件】 /plus/ad_js.php 【廣告插件，新聞資訊站用到的，請勿刪除】 /plus/car.php、posttocar.php、carbuyaction.php 【購物車】 /plus/comments_frame.php 【調用評論，存在安全漏洞】 /plus/digg_ajax.php、digg_frame.php 【頂踩】 /plus/download.php、disdls.php 【下載和次數統計】 /plus/erraddsave.php 【糾錯】 /plus/feedback.php、feedback_ajax.php、feedback_js.php 【評論】 /plus/stow.php 【內容收藏】 /plus/vote.php 【投票】
安全設置四：后臺目錄及賬號密碼修改
1、網站后臺文件改名：(不定期更改一下)
默認后臺目錄是/dede，需要將這個文件夾的名稱修改，
如改為WangZhan123@+，
那么后臺登陸地址就由
www.xxx.com/dede 變為 www.xxx.com/WangZhan123@+
2、后臺登錄密碼請勿使用admin：
數據庫內容替換——dede_admin——要替換的字段：userid——被替換內容：admin——替換為：longtengfei——安全確認碼——保存確認
安全設置五：目錄權限設置
1、這幾個目錄去掉寫的權限
/data、/templets、/plus、/include、/dede
網站根目錄設置為755權限(即www權限)，根目錄下的所有文件夾均為755權限
2、老版本若登錄后臺提示驗證碼錯誤，選中/data目錄，將權限設置為完全控制（可讀可寫）權限
安全設置六：主機安全防護
服務器可下載第三方防護插件，例如：織夢CMS安全包 、DedeCMS頑固木馬后門專殺、服務器安全狗、啟用HTTPS證書配置等等；
安全設置七：禁止目錄運行php腳本
1、linux主機的用戶一般都是apache環境，使用 .htaccess 文件來設置，如果你網站根目錄已經存在這個文件，那就復制一下代碼添加進去。
RewriteEngine on #安全設置 禁止以下目錄運行指定php腳本 RewriteCond % !^$ RewriteRule a/(.*).(php)$ – [F] RewriteRule data/(.*).(php)$ – [F] RewriteRule templets/(.*).(php|htm)$ – [F] RewriteRule uploads/(.*).(php)$ – [F]
2、windows主機的用戶一般都是iis7、iis8環境，使用 web.config文件來設置，請確認你的主機已經開啟了偽靜態而且網站根目錄有 web.config 文件，有這個文件的可以復制以下代碼添加到對應的rules內。
<rule name="Block data" stopProcessing="true">
<match url="^data/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="data" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
<rule name="Block templets" stopProcessing="true">
<match url="^templets/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="templets" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
<rule name="Block SomeRobot" stopProcessing="true">
<match url="^uploads/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="SomeRobot" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
3、Nginx下禁止指定目錄運行PHP腳本
這段配置文件一定要放在
location ~ .php(.*)$
前面才可以生效，配置完后記得重啟Nginx生效。
location ~* /(a|data|templets|uploads)/(.*).(php)$ {
return 403;
}
測試有沒有生效，可以隨便創建一個PHP文件傳到uploads文件夾下，執行：域名/uploads/測試文件.php 如果不能打開說明生效。
安全知識：常見木馬文件
plus/90sec.php plus/ac.php plus/config_s.php plus/config_bak.php plus/diy.php (系統文件) plus/ii.php plus/lndex.php data/cache/t.php data/cache/x.php data/cache/mytag-*.htm data/config.php data/cache/config_user.php data/config_func.php include/taglib/shell.lib.php include/taglib/*.lib.php
這些大多數被上傳的腳本集中在plus、data、data/cache、include這幾個目錄下，請仔細檢查這幾個目錄下最近是否有被上傳異常文件。