免费安全插件的漏洞预警写着最多延迟 48 小时，这段空档站点靠什么补？
只用免费漏洞通知时，预警与修复之间的时间差靠什么补？先看信号本身有多快：以 WordPress 生态里的安全插件为例，其官方插件页写明免费版提供「最长 48 小时」的新漏洞预警，同时明确免费版不含防火墙，自动虚拟补丁属付费能力。也就是说，免费档给你的是「比人工勤快一点的消息」，从消息到站点安全之间的那段空档，站内防线要自己排。
预警承诺的边界
「最长 48 小时」描述的是厂商从发现漏洞到通知你的时限，它不覆盖另外两段时间：你看到通知到完成影响判断的响应时间，以及判断之后到装上修复版本的处置时间。把三段时间相加，实际暴露窗口常常以天计；而插件页同时写明免费档只有检测与通知、没有拦截能力，意味着这段时间里没有任何外部缓冲，站点是裸奔还是有线，取决于程序自身的防线。
空档里风险从哪些面进来
组件漏洞被利用的路径高度集中：登录后门的爆破与凭据滥用、请求参数直接拼进查询语句形成的 SQL 注入、评论与留言里夹带的存储型 XSS、面向内容页的批量采集。48 小时空档内，攻击并不挑「有没有订阅预警」，它只挑站点哪一面没设防。因此补空档的思路不是把预警买得更贵，而是把每一面都放上不依赖外部信号的常驻防线。
站内三层防线怎么补
下表按「空档里发生什么、站内哪层挡、对应动作」拆开：
| 防线层 | 挡什么 | 站内动作 |
|---|---|---|
| 程序与接口层 | 爆破、越权、SQL 注入、XSS | 确认后台走 JWT 类认证、接口按域收口暴露范围、参数校验常开 |
| 表单与交互层 | 机器人灌水、批量提交 | 留言与登录表单接入 reCAPTCHA 验证码，控制提交频率 |
| 内容层 | 采集搬运、违规内容借站传播 | 敏感词过滤与关键词替换在发布时生效，配合防采集干扰码，评论走内容审核 |
三层分别对应 AnQiCMS（安企CMS）内置的三组能力：JWT 认证与注入防护属于程序层，reCAPTCHA 验证码挂在表单入口，敏感词过滤、内容审核与防采集干扰码属于内容层。它们的共同点是常驻，不随预警信号开关。
预警之外还要做的两件事
第一是把「组件清单」维护起来：不知道站点装了哪些扩展，48 小时的预警也无从对号。第二是把升级路径演练过：预警到达时如果升级动作要从零摸索，空档就会被拉得更长；备份与恢复先就绪，处置才敢快。
常见问题
把免费预警调到邮件即时提醒，算不算缩短空档？ 算缩短「你看到」的时间，不算缩短「站点被防护」的时间，两者别混在一张检查单里。
48 小时预警和虚拟补丁该怎么选预算？ 站点结构复杂、组件多、短期不能频繁升级时，拦截类能力的边际价值更高；组件少且能当天完成升级的站，预警加演练通常够用。
站内没有防火墙会不会完全不设防？ 不是。程序层的认证与参数校验、表单验证、内容审核都属于防线，只是它们挡的是站内路径，不替代组件漏洞本身的修复。