内容摘要：去年冬天，我帮一家做跨境电商的朋友处理服务器告警。凌晨两点，他们主站被注入了一段恶意脚本，用户结账时会被跳转到钓鱼页面。事后复盘，问题出在一个月前——运维换了CDN配置，没人注意到某个JS文件被篡改。

去年冬天，网站我帮一家做跨境电商的巡查朋友处理服务器告警。凌晨两点，记录他们主站被注入了一段恶意脚本，网站用户结账时会被跳转到钓鱼页面。巡查事后复盘，记录问题出在一个月前——运维换了CDN配置，网站没人注意到某个JS文件被篡改。巡查如果当时有一份按周期填写的记录网站巡查记录表，这事本可以在当天下午就被拦住。网站

网站巡查记录表不是巡查给领导看的台账。它的记录核心作用只有一个：让异常在变成事故之前，被一双眼睛盯到。网站我见过太多团队把巡查当形式，巡查表格里全是记录“正常”“无异常”，连续三个月一模一样。这种记录等于没记。真正有用的巡查表，应该像老中医的脉案，每次都有细微观察。

表里到底该填什么

基础项包括：首页能否正常打开、关键页面（登录、支付、商品详情）响应时间、SSL证书剩余天数、数据库连接数、磁盘占用率。这些用脚本可以自动抓，但人工巡查要补的是脚本抓不到的东西。比如首页banner轮播是否卡顿，搜索框输入特殊字符会不会报错，用户头像加载失败时显示的是裂图还是默认图。上周我巡查一个客户站点，发现移动端菜单点击后延迟1.5秒才展开，脚本测的是HTTP状态码200，完全正常。这种体验问题只能靠人点。

还有一个容易被忽略的：第三方资源。很多网站引用了外部字体、统计代码、客服插件。巡查时要看这些外部请求是否超时，有没有被替换成赌博广告。我习惯在浏览器控制台勾选“Disable cache”，然后刷新，看Network面板里有没有陌生的域名。去年有个案例，某网站引用的jQuery被劫持，导致所有表单提交时把用户密码发到境外IP。巡查表里加一行“检查所有外链资源域名”，就能提前发现。

频率和责任人怎么定

别搞一刀切。核心交易系统每天两次，上午十点和晚上八点各一次。内容型站点每天一次足够。巡查人不要固定一个人，轮流来。同一个人连续看三十天，会产生“视觉盲区”——明明首页有个错别字，他每天扫过去就是看不见。换个人，第一眼就发现。我建议把巡查表放在共享文档里，每次填写后@一下技术负责人。不用复杂，一行文字：“3月12日，支付页加载4.2秒，比昨天慢1.8秒，排查发现是优惠券接口返回数据量突增。”这就是有效记录。

发现异常之后

巡查表不是终点。填完“异常”两个字，后面必须跟三样东西：截图、初步判断、处理人。截图要带时间戳，别用手机拍屏幕，直接浏览器截图。初步判断写“疑似数据库慢查询”比写“可能有问题”有用一百倍。处理人写具体名字，不写“运维组”。我见过一张巡查表，异常栏写着“首页偶尔打不开”，处理人写“待定”，三天后网站宕机六小时。那张表后来被翻出来，没人认账。

还有个小技巧：把上周同一天的巡查记录附在下面。对比着看，能发现渐变式劣化。比如磁盘占用从62%到68%再到75%，单看每天都不算异常，连起来看就是日志没轮转。渐变问题比突发问题更隐蔽，也更容易被巡查表抓住。

最后说句实在话。巡查表填得再漂亮，不执行等于零。我见过一个五人团队，用在线表格加手机日历提醒，坚持了两年，网站可用率从99.2%提到99.95%。也见过二十人的运维部，巡查表锁在柜子里，一年填三次。工具不复杂，复杂的是人愿不愿意每天花十五分钟，像检查自家门窗一样，把网站每个角落走一遍。