最有效的网页防篡改手段是系统级只读权限配置。Linux用chattr +i锁定核心文件，Windows通过NTFS高级权限仅授予IIS_IUSRS读取权限，并需分离静态与动态目录、部署时自动加固、运行前校验可写性。
一、Linux 下用 chattr +i 锁死核心文件（最强防护）
对静态资源目录（如 /www/wwwroot/example.com/html）或配置文件（如 /etc/nginx/conf.d/site.conf），推荐用 chattr +i —— 这是内核级不可修改标记，连 root 都无法覆盖或删除，除非先 chattr -i。
- 锁定整个站点根目录（不含动态生成目录）：
chattr -R +i /www/wwwroot/example.com/html - 排除缓存、上传、日志等需写入的子目录（必须提前排除）：
chattr -R -i /www/wwwroot/example.com/html/uploadschattr -R -i /www/wwwroot/example.com/html/cache - 验证是否生效：
lsattr /www/wwwroot/example.com/html/index.html→ 应显示----i---------
⚠️ 注意：PHP 或 Node.js 进程若以 root 运行，+i 会彻底阻断所有写操作；务必确保上传、会话、日志等路径不在锁定范围内，否则服务异常。
二、Windows Server 上通过 NTFS 权限实现真只读
仅勾选“只读”属性毫无防护力——它只是个提示位。必须进 安全 → 高级 → 禁用继承 → 删除所有继承权限 → 新增用户组并仅赋予读取权限。
- 右键网站物理路径（如 D:\inetpub\wwwroot\myapp）→ 属性 → 安全 → 高级
- 点击“禁用继承” → 选“从此对象中删除所有已继承的权限”
- 点击“添加” → 输入 IIS_IUSRS（或应用池对应用户）→ 确定
- 在基本权限中，只勾选“读取和执行”“列出文件夹内容”“读取”，其余全部不勾
- 勾选“替换所有子对象的权限项”，点击确定
✅ 效果：IIS 工作进程能读代码、执行 PHP/ASP.NET，但无法修改 .html/.js/.config 文件，也无法新建或删除任何文件。
三、避开常见陷阱：动态内容与部署协同
只读不是一劳永逸。关键在于划分“静态资产”和“运行时数据”，并在部署流程中固化权限策略。
-
明确分离目录：把
/public、/static、/themes设为只读；而/storage、/runtime、/uploads单独挂载、赋写权限 -
部署脚本自动加固：CI/CD 中加入权限设置步骤，例如：
find ./public -type f -exec chmod 444 {} \;chattr -R +i ./public -
程序启动前校验可写性：在 PHP 的
index.php或 Node.js 的app.js开头加检测：if (!is_writable(__DIR__.'/storage')) { die('Critical: storage dir not writable'); }
不复杂但容易忽略：真正的只读保护，从来不是单点操作，而是目录规划 + 权限配置 + 运行时校验的组合动作。
