帝国CMS作为国内常用的内容管理系统，安全性设置尤为重要。防止SQL注入和XSS跨站攻击是保障网站安全的核心措施。以下是一些实用的安全防护设置方法，帮助你提升帝国CMS的安全性。

开启系统安全防护功能

帝国CMS自带多种安全机制，需在后台手动启用：

登录验证增强：进入“系统” → “系统设置” → “安全参数配置”，开启“后台登录验证码”和“COOKIE认证加密”功能，防止暴力破解和会话劫持。

限制后台访问IP：在“安全参数配置”中设置允许访问后台的IP地址，仅允许可信IP登录，减少非法访问风险。

关闭SQL调试信息显示：在“参数设置”中关闭错误信息显示，避免泄露数据库结构。

防止SQL注入攻击

SQL注入主要通过恶意输入操控数据库查询。帝国CMS已有基础过滤，但仍需加强：

使用系统内置过滤函数：帝国CMS的 RepPostVar()、RepPostStr() 等函数会对用户输入进行转义处理，开发插件或自定义页面时应主动调用这些函数过滤参数。

避免直接拼接SQL语句：在二次开发中，禁止将用户输入直接拼入SQL，应使用预处理或系统提供的数据库操作方法（如 $empire->query() 配合参数过滤）。

定期更新系统版本：官方会修复已知漏洞，及时升级到最新版可有效防御新型注入攻击。

防御XSS跨站脚本攻击

XSS攻击常通过评论、投稿、标题等输入点注入恶意脚本：

启用输入内容过滤：在“系统” → “数据表与系统模型” → “管理数据表”中，对字段启用“录入项自动转换”和“内容自动过滤”功能，过滤 script、iframe、onerror 等危险标签。

输出时进行HTML编码：在模板中显示用户输入内容时，使用 stripSlashes() 和 htmlspecialchars() 对内容进行转义，尤其是评论、留言板、会员投稿等模块。

设置HttpOnly Cookie：修改 e/class/config.php 文件，设置Cookie时添加 httponly 属性，防止JavaScript读取敏感Cookie。

文件与目录权限控制

合理设置服务器文件权限可降低被植入木马的风险：

限制可写目录：除必须的附件上传目录（如 d/attachment/），其他目录如 e/admin/、e/data/ 应禁止写入权限。

重命名后台入口文件：将 e/admin/index.php 改为自定义名称，并通过伪静态隐藏真实路径，防止被扫描爆破。

禁止PHP在上传目录执行：在Web服务器（如Nginx/Apache）配置中，限制上传目录的PHP执行权限，防止上传木马后运行。