网站问题
上周三凌晨两点，网站问题我收到一条微信：“网站挂了，网站问题快看看。网站问题”发消息的网站问题是做跨境电商的老赵。他那个卖户外电源的网站问题独立站，白天还好好的网站问题，夜里突然打不开。网站问题我登上去一查，网站问题数据库连接数爆了——不是网站问题被攻击，是网站问题他自己写的一个促销插件，每次有人加购物车就疯狂写日志，网站问题日志表三天没清理，网站问题硬生生把连接池占满了。网站问题
这种事我见得太多了。网站问题网站出问题，网站问题九成不是黑客干的，是代码里埋的雷自己炸了。老赵那个插件是他花两千块找人写的，对方交付时说了句“能用”，老赵就真信了。结果“能用”的代价是每到大促就崩一次，去年黑五他损失了至少四万美金订单。
慢，往往比挂更可怕
很多人以为网站打不开才叫问题。其实慢才是钝刀子割肉。我测过一个企业官网，首页加载要8.3秒。老板跟我说“能打开就行”，我给他看了个数据：移动端用户超过3秒没看到内容，53%会直接关掉。他那个站每天两千访客，等于每天白白扔掉一千个潜在客户。后来查出来是首页轮播图没压缩，单张图4.7MB，服务器还在美国，国内用户加载一张图要两秒多。
更隐蔽的是那种“偶尔慢”。有个做知识付费的朋友，用户反馈说支付页面有时候转圈十几秒。他重启服务器就好了，过两天又犯。我帮他看日志，发现是支付回调接口里有个同步请求第三方查订单状态的逻辑，对方接口超时设置是30秒，网络一抖动就卡住整个PHP进程。这种问题最折磨人——你没法复现，但它确实在赶客。
安全漏洞长什么样
去年帮一个客户做渗透测试，我用最基础的SQL注入就进了后台。他那个登录框，用户名填 ' or '1'='1 直接绕过密码。后台里躺着三万条用户手机号。我问他代码谁写的，他说是某宝上买的模板，三百块。三百块的模板，数据库查询全是字符串拼接，连 mysqli_real_escape_string 都没用。这不是技术问题，是态度问题。
还有更离谱的。有个站的文件上传功能，没做任何类型校验。我传了个 .php 文件上去，直接拿到服务器权限。那个上传按钮是给用户传头像用的，结果变成了后门。修起来倒简单，加个白名单就行，但在此之前，这站已经裸奔了八个月。
备份不是万能的，没备份是万万不能的
我见过最惨的一个案例：一个摄影师的个人作品站，服务器被勒索软件加密，所有照片源文件没了。他以为服务商有备份，服务商说“基础套餐不含备份”。他以为本地电脑有，结果电脑半年前中过一次毒，D盘被格了。最后花了两万块找数据恢复，只救回来三成。
备份这事，我的习惯是“三二一”：三份副本，两种介质，一份异地。听着麻烦，但真出事的时候，你只会后悔没多备一份。有个做论坛的客户，我让他每天自动备份数据库到对象存储，他嫌每个月多花二十块钱。后来论坛被灌水机刷了八十万条垃圾帖，他手动删了三天，最后跟我说：“那二十块花得值。”
性能问题多半是懒出来的
我打开一个卡顿的网站，第一件事是看图片。十张图里八张没压缩，PNG当照片用，一张顶五张。第二件事是看数据库查询。一个列表页，循环里查了三十次数据库，每次查一条。这叫N+1查询，改成一个 IN 查询就能快几十倍。第三件事是看缓存。很多站连 OPcache 都没开，PHP每次请求都重新编译一遍代码。这些都不是高深技术，是基本功没做。
有个做民宿预订的站，搜索功能慢到用户以为死机。我一看，每次搜索都 SELECT * FROM rooms WHERE name LIKE '%关键词%'，没索引，全表扫描。房间表才两千条数据就卡成这样，要是两万条呢？加个全文索引，改一下查询，响应时间从4.2秒降到0.3秒。老板说“原来可以这么快”。
网站问题说到底就三类：代码写得烂、服务器配得差、人太懒。烂代码能跑就不改，差配置能省就省，懒到备份不做、监控不装、日志不看。等出事的时候，损失早超过省下的那点钱。老赵后来把插件重写了，加了日志轮转，服务器也升了配置。他说：“早该听你的。”我说：“你早该找个靠谱的人写代码。”