安全与防爬 7
robots.txt + nginx 双保险劝退采集爬虫（附必须放行 robots.txt 的原因）
谁在爬你的站
个人站最常遇到的不是"恶意攻击"，而是一堆 SEO 数据商 / 采集爬虫在持续抓取：
AhrefsBot、SemrushBo
...
用 nginx 在源站封掉 WordPress 的高危入口（含 XML-RPC）
默认装的 WordPress，开着一堆没人用的入口
刚装好的 WordPress，公网上能直接访问到这些东西：
/readme.html
...
别全信 X-Forwarded-For：让 WAF 真正看到真实客户端 IP
一个被忽略的默认值
很多 nginx 配置（含一些面板的默认模板）里写着：
set_real_ip_from 0.0.0.0/0;
rea
...
fail2ban 封禁静默失效：nftables 下要换掉 ipset 动作
症状：fail2ban 显示封了，攻击一点没停
装了 fail2ban，配置看着也正常，fail2ban-client status sshd
...
CDN 与源站重复下发 HSTS：两个响应头，浏览器只认第一个
现象：同一个响应头出现两次
站点刚接上 CDN 之后，我用 curl -I 检查响应头，发现 Strict-Transport-Security
...
字体防盗链：别让别人白嫖你的 woff2 流量
为什么字体也要防盗链
图片防盗链大家都知道，字体常常被忘掉。但字体文件并不小——一个完整的 woff2 中文字库动辄几百 KB 到数 MB，别人
...
云服务器上线前的安全清单：端口、SSH、防火墙别留默认
为什么写这个
默认配置的云服务器，暴露在公网的第一天就会开始被扫。这不是"可能"，是必然——任何开在公网 IP 上的机器，几小时内就会有扫描器敲
...
