同行 CMS 的安全升级公告，为什么还要求清缓存查文件

PbootCMS 官网在 2026 年 6 月 22 日发布《关于 PbootCMS v3.2.14 安全升级的通知》，除了要求升级到新版本，还写了两条很容易被跳过的动作：升级完成后请及时删除 runtime/ 缓存目录，并检查网站目录中是否存在异常 PHP 文件、陌生上传文件或可疑改动。这两条不是附加提醒，而是处置流程的一部分：补丁解决的是「入口还开着」，缓存和落地的文件解决的是「已经进去过的人留下的东西」。只看版本号，会把一个仍在被挂马的站点判定成已修复。

为什么补丁不等于站点已干净

升级替换的是程序代码，它的覆盖范围有三处天然盲区：

第一处是缓存。运行时目录里存的是渲染结果与中间数据，写入时间早于漏洞修复。升级后如果缓存不清，前台仍会按旧内容输出，攻击者早先植入的脚本或链接就可能继续从缓存里吐出来。版本号是新的，页面内容是旧的，这类不一致在排查里最难发现。

第二处是文件系统的写权限。漏洞利用常伴随写入行为：一句话马、陌生上传文件、被改过的模板或入口文件。这些不在升级包的覆盖范围内，代码升级不会删除它们，也不会改动它们的时间戳。

第三处是数据表。文章正文、栏目配置、用户表里的异常内容属于数据层，升级不会清洗数据。被写入正文的脚本仍然会输出到前台。

运行时缓存为什么要单独清

缓存目录的定位是「可随时重建」，删除它不损失源数据，下一次访问会重新生成。这也是它成为高发位置的原因：写入成本低、清理动作少、维护者通常不会去看里面有什么。执行时机要卡在升级完成之后立刻做，否则旧缓存与新代码混用一段时间，前台呈现的还是修复前的结果。清理后应主动访问首页与几篇内页，确认重建过程正常。

查文件的重点位置

按可疑程度排序：

• 上传目录及其子目录。这里的合法文件应当只有图片与附件，出现脚本扩展名的文件要重点核对。
• 模板与静态资源目录。被改过的模板文件往往带着时间戳异常或多余代码块。
• 站点根目录。合法站点根目录的文件清单是相对固定的，多出可读脚本文件要问一句来源。
• 深层与命名奇怪的目录。攻击者倾向把文件放在不常被浏览的路径，靠目录名混淆。

核对方式上，与一份干净的官方发布包做文件清单比对，比凭经验扫一眼更可靠；同时保留站点自己的合法扩展文件白名单，避免把上传目录里的正常素材当异常。

站内对应的动作是什么

同一套顺序放到自有系统上，第一步仍然是备份。AnQiCMS 的备份与恢复覆盖数据与静态文件，处置前先做一次，既作为回退手段，也作为文件比对的基准。清理与排查属于会影响前台的动作，没有可回退点时不宜直接在生产上操作。

第二步是收数据面。内容层的异常可以用后台的内容审核与敏感词过滤来兜住：AnQiCMS 支持敏感词过滤与关键词替换、内容审核，被写入正文的异常内容可以在这一层被拦下或替换掉。发现正文异常且涉及面广时，全站替换工具适合批量处理关键词或链接，但要先限定范围，避免把正文里合法的相同字符串一并改掉。

第三步是留通知。处置类动作要有人知情，AnQiCMS 支持邮件提醒，把升级与清理的执行结果通知给维护者，比等用户反馈发现页面异常更早。

常见问题

升级后前台看起来正常，还要清缓存吗？ 要。前台正常只说明当前访问路径命中了新缓存或未被污染的页面，不代表全部缓存都已重建。

没做过备份，能不能先升级再补备份？ 不建议。升级会覆盖文件，异常文件与改动痕迹一并消失后，事后无法判断入侵范围；此时更稳妥的做法是先复制整站文件与数据库快照。

检查出来的异常文件要直接删吗？ 先留存样本再删，记录路径与时间戳。删除是止血，样本用于判断入口在哪，否则同一位置可能反复出现。

这两条要求是不是****？ 不是。它对应的是两类真实残留：渲染结果残留与写入残留。补丁只解决入口，残留要人处理。