真正防篡改需权限+所有权+内核级锁定三层控制：先chown root:www并chmod 440 config.php，再启用宝塔企业级防篡改插件拦截系统调用，同时保护.env、Nginx配置等隐形文件，升级时临时放行。
直接让 config.php 等文件真正不可写，光改权限不够
单纯在宝塔文件管理器里把 config.php 权限设成 644 或 444，只是表面防护——Web 进程（如 php-fpm）若以 root 或高权限用户运行，仍可能绕过；更常见的是，CMS 自动更新、插件后台操作会直接报错失败，甚至导致站点崩溃。真正防篡改，得靠“权限 + 所有权 + 内核级锁定”三层控制。
用 chown + chmod 锁死所有权和写位
这是最基础也最关键的一步：确保配置文件既不属于 Web 进程用户（如 www），也不给“其他用户”留写口子。很多管理员只改权限不改属主，结果 www 用户依然能删改自己名下的 644 文件。
- 先确认当前 Web 服务用户：
ps aux | grep php-fpm或看宝塔「网站」→「设置」→「PHP 版本」旁的运行用户（通常是www） - 把配置文件属主改成
root，属组保留www（便于读取但无法写）：chown root:www /www/wwwroot/example.com/config.php - 再设为只读（所有者可读、组可读、其他不可读写）：
chmod 440 /www/wwwroot/example.com/config.php - 如果连
root都不该轻易改（如生产环境），可用chmod 400，但后续编辑必须切root用户，代价是运维成本上升
启用宝塔「企业级防篡改」插件强制内核级只读
chmod 440 可被 root 或恶意进程覆盖，而企业级防篡改插件基于 Linux inotify + fanotify，在内核层拦截对受保护路径的 open(O_WRONLY)、unlink、rename 等系统调用——哪怕你用 echo "xxx" > config.php，也会被静默拒绝并记入日志。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 安装后进入插件「保护列表」→「添加保护」，路径填绝对路径，例如：
/www/wwwroot/example.com/config.php - 后缀类型选「指定后缀」，只勾
php、ini、yaml等配置类后缀，避免误锁模板或日志 - 务必开启「进程白名单」，只允许
php-fpm、nginx等合法进程访问，禁掉bash、curl、wget——否则上传木马后用 shell 直接覆盖就失效了 - 注意：该插件不保护软链接目标，若
config.php是软链，需保护其真实路径
别漏掉 .env、database.php 和 Nginx 配置这些“隐形靶子”
很多人只盯 CMS 的 config.php，却忘了 Laravel 的 .env、ThinkPHP 的 database.php、甚至宝塔自己的 /www/server/panel/vhost/nginx/example.com.conf ——这些文件一旦被写入恶意反代规则或数据库密码泄露，危害远超前端 JS 文件。
-
.env必须设600或400，且确保 Web 根目录外（如放在/www/wwwroot/example.com/../env/），防止被 URL 直接下载 - Nginx 站点配置文件建议用
chown root:root+chmod 644，禁止www组写入；修改时走宝塔界面或sudo，不开放 FTP/文件管理器编辑权限 - 检查是否有备份文件残留，如
config.php.bak、config.php~，这些常被忽略，但可通过 HTTP 直接访问，必须rm -f或移出 Web 可访问路径
最易被忽略的一点：权限锁死之后，CMS 后台升级、插件安装等功能大概率会失败。这不是配置错了，而是你成功了——此时应明确区分“运行时只读”和“维护期临时放行”，用计划任务或部署脚本在升级前自动放开、升级后立刻锁回，而不是长期开着写权限图省事。
