上线前检查清单（12 项）
一、安全
- 关闭调试：
.env 中 APP_DEBUG = false。开着调试会向访客暴露异常堆栈与 SQL
- 数据库最小权限：站点使用的数据库账号只授予该库的增删改查权限，不要用 root
- 改掉默认后台入口密码：超级管理员密码 8 位以上，不要用
admin / Admin@12345 这类演示口令
- 目录权限：仅
/runtime、/public/uploads、/public/html 可写，/app、/config、/vendor 一律只读
二、传输与访问
- 强制 HTTPS：证书装好后把 HTTP 全部 301 到 HTTPS，并加
Strict-Transport-Security
- 伪静态：确认
try_files $uri $uri/ /index.php$is_args$args 生效，/admin、/api 前缀正常回落
- 关闭目录索引：Nginx 加
autoindex off，避免 /uploads/ 被列出文件清单
三、功能配置
- 上传上限：
upload_max_filesize 与 post_max_size 至少 20M，否则产品图与附件传不上去
- 时区：
date.timezone = Asia/Shanghai，否则后台时间与发布时间会差 8 小时
- 邮件通知：后台配置 SMTP 并发一封测试信，确认询盘能到销售邮箱；失败要能看到日志
四、发布与备份
- 生成静态页：
php think static:build all，并在「系统设置」里确认静态化开关打开；此后的内容保存会自动增量重建
- 备份三件套：数据库（
mysqldump）、public/uploads、.env。建议每日定时，且至少保留 7 天
五、上线后 24 小时观察
- 提交
sitemap.xml 到 Google Search Console 与百度站长
- 用真实邮箱提交一次询盘，确认后台列表 + 邮件通知都正常
- 看一次访问日志，确认没有大量 404（通常意味着伪静态或链接前缀有问题）
