发布时间：2026/10/9 16:28:39 分类：行业资讯 作者：阿非苏格编辑部

在家给别人做网站合法吗?3个坑教你避开最佳实践

网站做好了没人访问，这不仅是流量焦虑，更是法律风险的温床。很多设计师转前端的朋友觉得，在家接单做站是纯技术活，只要代码写得漂亮就行。大错特错。真正的最佳实践，是把合规性当成第一道防火墙。如果网站因为没备案被关停，或者因为代码漏洞被黑，你赔的钱可能比赚的还多。

1. 别碰灰产：在家接单的法律红线

很多人对“在家做网站”的理解还停留在自由职业层面，觉得接个私活，收点钱，交付源码，两清。但在网络安全法实施后，这种粗放模式极其危险。

什么是合法？ 合法的核心在于：你提供的网站内容不违法，你的技术行为不侵犯他人权益，你的商业行为有迹可循。

三个高频雷区：

协助制作非法网站 有些客户找上门，让你做个“博彩后台”、“刷单平台”或者“盗版资源站”。只要你明知其用途非法还提供技术支持，根据《网络安全法》和《刑法》，你可能构成“帮助信息网络犯罪活动罪”。哪怕你只写了前端页面，没碰数据库，也跑不掉。
未备案擅自上线 在中国境内，所有面向公众提供服务的网站，必须完成 ICP 备案。很多个人开发者图省事，用海外服务器搭建，或者帮客户用别人的备案接入。一旦网站出现不良信息或违规内容，警方溯源时，服务器日志和 IP 指向谁，谁就有嫌疑。如果你作为技术提供方，无法证明客户已完成合法备案，你可能面临连带调查。
侵犯知识产权 这是设计师转前端最容易踩的坑。客户给你一张图，让你“照着做”。如果这张图是网上扒的，版权属于某设计公司，你做出来的网站上线后，原版权方发起诉讼，被告名单里往往包含“网站运营方”和“技术服务方”。你以为自己只是写了 CSS，但在司法实践中，技术实现也是侵权的一部分。

如何自保？ 在接单前，必须问清客户三个问题：域名是谁的？服务器在哪？内容是否原创或已获授权？并在合同中明确：“乙方仅负责技术开发，甲方需保证网站内容合法合规，并已自行完成 ICP 备案及安全评估。” 这段话，能帮你挡掉 80% 的法律风险。

2. 代码即漏洞：为什么你的站总被黑？

网站做好了没人访问，有时候不是 SEO 没做好，而是服务器被黑了，页面被替换成了赌博广告。对于设计师转前端的人来说，最大的误区是：“我前端很懂，后端我不关心。”

但现代 Web 开发，前后端界限模糊。很多 CMS 系统（如 WordPress、Discuz）或自建框架，如果前端传入参数没有过滤，后端直接拼 SQL，就是经典的 SQL 注入。

典型场景： 客户让你加一个“留言功能”。你写了个简单的 PHP 接口，接收前端传来的 name 和 message，直接存进数据库。

错误代码（高危）：

<?php
// 危险操作：直接拼接变量
$name = $_GET['name'];
$message = $_GET['message'];$sql = "INSERT INTO comments (name, message) VALUES ('$name', '$message')";
mysqli_query($conn, $sql);
?>

攻击者只需要在浏览器地址栏输入： ?name='; DROP TABLE comments; -- 你的留言表瞬间就没了。更狠的是，如果数据库账号权限高，攻击者可以直接读取服务器上的 .env 文件，拿到数据库密码、API Key，进而控制整个网站。

为什么设计师转前端容易中招？ 因为大家习惯用“所见即所得”的思维。前端传什么，后端就存什么，觉得只要页面显示正常就行。但 Web 安全的核心原则是：“永远不要相信用户输入的任何数据。”

3. 防护方案：从代码层堵住漏洞

要解决“网站被黑导致无人访问”的问题，必须从代码层面加固。这里分享两个最实用的最佳实践，专门针对个人开发者和小团队。

方案一：参数化查询（防 SQL 注入）

别用字符串拼接 SQL，使用预处理语句（Prepared Statements）。这是数据库层面的终极防线。

修复后代码（安全）：

<?php
// 安全操作：使用预处理语句
$name = $_GET['name'];
$message = $_GET['message'];// 准备 SQL 语句，使用占位符 ?
$stmt = mysqli_prepare($conn, "INSERT INTO comments (name, message) VALUES (?, ?)");// 绑定参数，类型说明符：s 代表字符串
mysqli_stmt_bind_param($stmt, "ss", $name, $message);// 执行
if (mysqli_stmt_execute($stmt)) {echo "Comment added successfully";
} else {echo "Error: " . mysqli_error($conn);
}// 关闭语句
mysqli_stmt_close($stmt);
?>

关键点：

? 是占位符，MySQL 引擎会将 $name 和 $message 严格视为“数据”而非“指令”。
无论用户输入什么，DROP TABLE 这样的指令都不会被执行，它只会变成一句普通的文本存入数据库。

方案二：输出过滤（防 XSS 跨站脚本）

SQL 注入是后端问题，XSS 是前端问题。如果你在前端直接渲染用户输入的内容，攻击者可以注入 <script>alert('hacked')</script>。

错误做法：

// 危险：直接将用户输入插入 HTML
const name = document.querySelector('input[name="name"]').value;
document.getElementById('display').innerHTML = name;

修复后做法：

// 安全：使用 textContent 代替 innerHTML
const name = document.querySelector('input[name="name"]').value;
const display = document.getElementById('display');
display.textContent = name;

或者，如果必须使用 innerHTML，务必先进行 HTML 实体编码。在 PHP 中，可以使用 htmlspecialchars() 函数：

echo htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');

记住： 输入要过滤，输出要编码。这两条铁律，能挡住 90% 的常规 Web 攻击。

4. 检测与修复：上线前的最后一道关

很多独立开发者，网站上线就完事了。其实，上线前应该有一个标准的“安全体检”流程。

步骤一：使用 Nmap 扫描端口

确保你的服务器只开放必要的端口（80, 443, 22）。多余的端口（如 3306 MySQL, 27017 MongoDB）必须关闭或限制 IP 访问。

# 扫描远程服务器开放端口
nmap -sV -sC 192.168.1.100

如果扫描结果显示 MySQL 端口对公网开放，立刻去防火墙（如腾讯云安全组）里关掉它。

步骤二：检查文件权限

Linux 服务器上，Web 目录的文件权限设置不当，也是常见漏洞。

文件权限应为 644（所有者读写，其他人只读）。
目录权限应为 755。
绝对禁止将 www 用户设置为可写权限（除非必要，且需严格限制）。

# 批量修改权限
find /var/www/html -type f -exec chmod 644 {} \;
find /var/www/html -type d -exec chmod 755 {} \;

步骤三：日志监控

查看 Web 服务器日志（Apache/Nginx），寻找可疑的 User-Agent 或高频请求。

# 查找最近 100 条包含 "SELECT" 的访问日志（可能的 SQL 注入尝试）
grep "SELECT" /var/log/nginx/access.log | tail -100

如果在日志里看到大量尝试注入的 IP，立刻将其加入黑名单。

真实案例参考： 在腾讯云开发者社区曾有一篇高热度文章分析了一起典型的黑客入侵事件：某电商站因后台登录接口未限制尝试次数，被暴力破解后植入后门。作者指出，很多中小企业网站缺乏基本的“登录失败锁定”机制。你可以去该社区搜索“Web 安全加固”，查看具体的 Nginx 限流配置代码，这对防止暴力破解非常有用。

5. 安全加固清单：一张表搞定日常运维

为了让大家在家做网站时更省心，我整理了一份安全加固 Checklist。每次上线前，照着这张表过一遍，心里就有底了。

检查项	操作要点	风险等级
HTTPS 强制跳转	配置 Nginx/Apache 将所有 HTTP 请求 301 重定向到 HTTPS	高
安全组配置	云服务器安全组仅开放 80/443/22，SSH 修改默认端口	高
代码审查	检查所有 SQL 查询是否使用预处理，检查用户输入是否过滤	高
文件上传限制	禁止上传 `.php`, `.jsp`, `.exe` 等可执行文件，重命名上传文件	中
定期备份	每日自动备份数据库和代码，存储在与服务器隔离的位置	中
依赖库更新	使用 `composer update` 或 `npm audit` 检查并更新已知漏洞的库	中
ICP 备案	确保域名已完成 ICP 备案，并悬挂备案号	致命
密码复杂度	数据库、后台、服务器密码必须 12 位以上，包含特殊字符	高