从WEB安全说站点文件(夹)结构设计注意事项

出于WEB站点本身的需要，有些文件(夹)是需要写入/修改权限的，比如网站数据库文件、生成静态页面文件夹，当然，开放的权限越多，带来的危险性也就越大，本文以Z-Blog 1.8为例，从WEB安全角度说说站点文件(夹)结构设计的注意事项。

1.集中需要写入/修改权限的文件(夹)

将需写入/修改权限的文件(夹)集中放在一个文件夹中，主要是方便服务器管理员配置用户权限以及脚本执行权限，Z-Blog需要配置写入/修改权限的文件(夹)比较分散：

Z-Blog18
├CACHE
├DATA
├INCLUDE
├POST
├THEMES
├UPLOAD
└c_custom.asp

2.需要写入/修改权限的文件不应是脚本文件(.asp, .php)

若是具有写入/修改权限的文件是脚本文件，那么文件就可能被加入恶意的脚本并执行，这将大大降低站点的安全性。若是具有写入/修改权限的文件不是脚本文件，服务器管理员可以在IIS中将这些文件(夹)的脚本执行权限设置无，以弥补提升权限所带来的风险，Z-Blog后台的文件管理功能导致需要脚本文件可以被修改。