新手入门必看：3种专门做试卷的网站架构，防黑挂马全攻略

网站被黑挂马，首页变成博彩广告，后台密码失效，这种情况在专门做试卷的网站里太常见了。别慌，90%的挂马是因为基础架构选型太烂，或者服务器没做基础加固。

我是做网站架构的，见过太多新手入门时为了省事，直接拿免费开源CMS改改就上。结果流量一上来，数据库被拖库，页面被注入恶意脚本。今天不讲虚的，直接拆解三种主流的试卷网站技术栈。从轻量级到企业级，对比它们的安全性和扩展性，帮你选一个既能扛住并发，又能防住黑客的底座。

方案一：静态生成+对象存储（极致安全与速度）

这种方案的核心逻辑是：前端只负责展示，后端只负责生成PDF或图片，中间用CDN加速。

定位： 适合试卷数量固定、更新频率低（如每月更新一次真题库）的小型教育站。优点：几乎没有服务器漏洞，因为服务器上不跑复杂的Web服务，只存文件。缺点：无法实现在线做题、自动判分等复杂交互。

核心差异对比：

特性	静态生成+对象存储	传统PHP/Java动态站	云原生Serverless
攻击面	极小（仅对象存储权限）	大（Web Server+DB+App）	小（无长期运行进程）
首屏速度	极快（<200ms）	较慢（500ms-1s）	快（冷启动后<300ms）
开发成本	低	中	高
交互能力	无/极弱	强	中/强

代码/配置示例：

这里展示一个使用 Node.js 配合 Puppeteer 生成试卷PDF并上传到阿里云OSS的简单逻辑。这是防止挂马的关键：文件生成在本地或临时容器，生成完即销毁，不留在Web服务器上。

const puppeteer = require('puppeteer');
const OSS = require('ali-oss');// 阿里云OSS配置，参考阿里云官方文档配置Endpoint和Bucket
const client = new OSS({region: 'oss-cn-hangzhou',accessKeyId: process.env.OSS_ACCESS_KEY_ID,accessKeySecret: process.env.OSS_ACCESS_KEY_SECRET,bucket: 'exam-papers-prod',
});async function generateAndUploadExam(examData) {const browser = await puppeteer.launch({ headless: 'new' });const page = await browser.newPage();// 注入HTML内容，确保内容安全，防止XSSawait page.setContent(generateSafeHTML(examData), { waitUntil: 'networkidle0' });const pdfBuffer = await page.pdf({format: 'A4',margin: { top: '20mm', bottom: '20mm', left: '20mm', right: '20mm' },printBackground: true,});// 上传到OSS，文件名加时间戳防止缓存混乱const fileName = `exams/${Date.now()}_${examData.id}.pdf`;await client.put(fileName, pdfBuffer);await browser.close();return `https://exam-papers-prod.oss-cn-hangzhou.aliyuncs.com/${fileName}`;
}function generateSafeHTML(data) {// 这里必须对data进行HTML转义，防止前端注入const escapeHtml = (text) => text.replace(/[&<>'"]/g, tag => ({'&': '&amp;','<': '&lt;','>': '&gt;',"'": '&#39;','"': '&quot;'}[tag]));return `<html><body><h1>${escapeHtml(data.title)}</h1><div>${escapeHtml(data.content)}</div></body></html>`;
}

适用场景： 纯资料展示站、电子证书查询与下载门户。注意：最近政策变化要求教育机构数据本地化，如果你做国内站，OSS Bucket必须选国内区域，并开启版本控制，防止文件被恶意篡改。

方案二：传统单体架构（PHP/Java + MySQL）

这是市面上80%试卷网站的选择，比如用 WordPress 加插件，或者自研 PHP/Java 项目。

定位： 适合需要用户注册、在线刷题、错题本、自动判分功能的中型网站。痛点：这是挂马重灾区。SQL注入、文件上传漏洞、反序列化漏洞层出不穷。

核心差异对比：

特性	静态生成+对象存储	传统PHP/Java动态站	云原生Serverless
维护难度	低	高（需定期打补丁）	中
数据库依赖	无	强依赖MySQL	弱依赖/无状态
扩展性	好（CDN天然扩展）	差（需加负载均衡）	极好（自动扩缩容）
安全门槛	低	高（需专业安全运维）	中

代码/配置示例：

以 Java Spring Boot 为例，展示如何防止文件上传漏洞。很多新手入门直接信任用户上传的文件名，导致被上传 .php 木马文件。

import org.springframework.web.multipart.MultipartFile;
import java.io.File;
import java.util.UUID;@Service
public class ExamFileService {private final String uploadDir = "/data/exams/";public String uploadExamFile(MultipartFile file) {// 1. 校验文件类型，白名单机制String originalFilename = file.getOriginalFilename();String extension = originalFilename.substring(originalFilename.lastIndexOf(".") + 1).toLowerCase();if (!"pdf".equals(extension) && !"jpg".equals(extension) && !"png".equals(extension)) {throw new IllegalArgumentException("Invalid file type: " + extension);}// 2. 重命名文件，使用UUID，禁止使用用户传入的文件名String newFilename = UUID.randomUUID().toString().replace("-", "") + "." + extension;String targetPath = uploadDir + newFilename;try {// 3. 检查目录是否存在，防止目录穿越File dir = new File(uploadDir);if (!dir.exists()) {dir.mkdirs();}// 4. 保存文件file.transferTo(new File(targetPath));// 5. 设置文件权限，防止Web服务器执行该文件// 在Linux服务器上，建议设置为 644setFilePermissions(targetPath);return newFilename;} catch (Exception e) {throw new RuntimeException("File upload failed", e);}}private void setFilePermissions(String path) {// 实际生产中应调用系统命令或NIO API设置权限// 这里仅做逻辑示意}
}

实操步骤与加固：

数据库隔离： 数据库用户不要给 DROP 和 ALTER 权限，只给 SELECT, INSERT, UPDATE, DELETE。
WAF配置： 在 Nginx 或云厂商WAF层开启 SQL注入和 XSS 防护。参考阿里云官方文档中的 WAF 配置指南，启用“防CC攻击”和“Web入侵防护”模块。
文件目录权限： Web服务器用户（如 www-data）对上传目录只有写权限，没有执行权限。
定期扫描： 使用 AWVS 或 Nmap 每月扫描一次端口和漏洞。

适用场景： 需要复杂业务逻辑的在线考试系统、题库管理平台。风险提醒：如果选这条路，必须找一个懂安全的运维，否则被挂马只是时间问题。

方案三：云原生 Serverless（函数计算 + 数据库服务）

这是未来趋势，也是目前性价比最高的安全方案。

定位： 适合流量波动大（如考前突击下载）、追求极致安全、不想维护服务器的团队。核心：无服务器暴露，代码运行在隔离容器中，用完即销毁。

核心差异对比：

特性	静态生成+对象存储	传统PHP/Java动态站	云原生Serverless
服务器管理	无	需ECS+安全组	无（云厂商托管）
冷启动延迟	无	无	有（100-500ms）
成本模型	按流量+存储	按包年包月	按调用次数+执行时长
防DDoS能力	依赖CDN	需额外购买高防IP	天然具备一定抗攻击能力

代码/配置示例：

以阿里云函数计算（FC）为例，使用 Python 编写一个获取试卷列表的 API。注意，这里没有直接连接数据库，而是通过 HTTP 调用 RDS 代理或 NoSQL 服务。

import json
import os
from aliyun.fc import fc2
from aliyun.fc.fc_exception import FCExceptiondef handler(event, context):# 1. 解析请求参数try:params = json.loads(event)page = int(params.get('page', 1))size = int(params.get('size', 10))except Exception:return {'statusCode': 400,'body': json.dumps({'error': 'Invalid request parameters'})}# 2. 获取数据库连接信息（从环境变量读取，不要硬编码）db_host = os.environ.get('DB_HOST')db_user = os.environ.get('DB_USER')db_pass = os.environ.get('DB_PASS')db_name = os.environ.get('DB_NAME')if not all([db_host, db_user, db_pass, db_name]):return {'statusCode': 500,'body': json.dumps({'error': 'Database configuration missing'})}# 3. 查询数据库（简化示例，实际应使用连接池）# 注意：这里必须使用参数化查询，防止SQL注入# import mysql.connector# conn = mysql.connector.connect(host=db_host, user=db_user, password=db_pass, database=db_name)# cursor = conn.cursor(dictionary=True)# query = "SELECT id, title, created_at FROM exams LIMIT %s OFFSET %s"# cursor.execute(query, (size, (page - 1) * size))# results = cursor.fetchall()# cursor.close()# conn.close()# 模拟返回数据results = [{'id': 1, 'title': '2023年高三数学模拟卷', 'created_at': '2023-10-01'},{'id': 2, 'title': '2024年英语四级真题', 'created_at': '2024-01-15'}]# 4. 返回JSON响应return {'statusCode': 200,'body': json.dumps({'data': results,'pagination': {'page': page,'size': size,'total': len(results)}})}

上线部署与优化：

域名绑定： 将自定义域名绑定到函数计算，开启 HTTPS。SSL证书可以直接在云厂商控制台免费申请，参考阿里云官方文档中的“域名与网站”章节。
CDN加速： 在函数计算前加一层 CDN，配置缓存策略。静态资源（图片、PDF）缓存1年，动态API不缓存。
日志监控： 开启函数计算的日志服务（SLS），配置告警。如果短时间内出现大量 500 错误或异常 IP 访问，立即触发钉钉或短信通知。
ICP备案： 国内服务器必须完成 ICP 备案。备案期间，网站无法访问，建议提前一个月提交资料。

适用场景： 高并发下载站、临时活动页、对安全要求极高的政府或教育类项目。

选型建议与避坑指南

新手入门怎么选？

如果你是个人站长，只做资料分享： 选 方案一。买个便宜的 ECS 或直接挂 GitHub Pages（国外）/ OSS（国内）。重点做好 OSS 的防盗链和访问控制。不要碰数据库，就没有 SQL 注入。
如果你是教育机构，有在线考试需求： 选 方案二，但必须花钱做安全加固。
- 不要用最老的 PHP 版本。
- 不要使用网上随便下载的源码，一定要审计代码。
- 服务器必须放在云厂商，开启安全组，只开放 80 和 443 端口，SSH 端口修改为非默认端口并限制 IP 访问。
如果你预算充足，追求稳定和安全： 选 方案三。虽然开发门槛稍高，但运维成本极低。云厂商帮你处理了底层的安全补丁和硬件故障。你只需要关心业务逻辑。