简介：面向网站运营者与管理员，这份下载提供了一套可直接部署的梦幻防红cos系统后台版，用于应对DDoS等恶意访问对站点造成的“红”风险。后台支持自定义防红接口，管理人员无需深入理解底层防护原理，通过域名后加admin.php即可进入管理界面进行配置。压缩包共82个文件，以php核心脚本、css样式表和png界面素材为主，并含js、jpg与txt安装说明，包体仅624KB，便于快速分发部署。已有110人学习/下载，适合个人站长及中小型网站借鉴。压缩包内包含install.php安装脚本、数据库配置、后台管理入口及登录退出等模块，解压后在PHP7.0环境下直接运行安装脚本即可完成部署；若安装异常，切换至匹配的PHP版本即可。整体操作路径清晰，可作为轻量防红方案的学习与二次开发参考。
1. 防红系统到底是做什么的：先弄清它解决的三个问题
做推广落地页、短链跳转的人应该都撞过这种场景：链接发到聊天窗口，别人点开看到的是风险提示页，流量直接归零。圈里管这叫“被红了”，防红系统就是专门处理这个问题的：当访问来自聊天软件内置浏览器时，服务器不直接吐原始页面，而是根据规则返回一个提示页、或者跳到一个放行域名，把访问留住。梦幻防红cos 3.5带后台版就是一套PHP写的现成实现，后台地址是“域名+admin.php”，最大的卖点是可以在后台自定义防红接口，不用改代码就能换检测规则；整套文件无加密，每一行都能看、都能改。这篇文章不吹不黑，从检测原理、部署安装、后台配置到避坑排查，把这条链路完整拆给你看，适合跑落地页、做站群和接手老PHP项目的从业者，按着步骤能直接复现。
2. 防红检测是怎么跑通的：UA、Referer 与后台自定义接口
2.1 防红检测的本质：服务端先看“客人从哪来”
浏览器每次向服务器发请求，都会带上两个关键头部：User-Agent（UA）和Referer。UA 描述“我是什么浏览器”，Referer 描述“我是从哪个页面跳过来的”。聊天软件内置浏览器和普通浏览器在这两个字段上差别非常明显——大多数社交软件的内置浏览器都会在 UA 里追加自己的软件标识，有些还会限制 Referer 的传递。
服务端检测逻辑就这么简单粗暴：
- 取
$_SERVER['HTTP_USER_AGENT']和$_SERVER['HTTP_REFERER']； - 用预置的关键词数组去匹配 UA 字符串；
- 命中，就判定为“内置浏览器来访”，走防红动作；没命中，正常输出页面内容。
这个设计决定了它的边界：UA 是客户端上报的，理论上可以伪造；平台的 UA 标识也不是一成不变，隔几个月可能加个版本号后缀。所以纯靠本地硬编码关键词的防红系统，时效性一定差，漏防是必然的，只不过程度问题。这也是为什么“能自定义防红接口”比“写死检测规则”更值钱——接口背后的域名状态是实时查询的，不依赖你本地关键词库有没有更新。
2.2 用 PHP 实现一个最小可用的检测骨架
拿到梦幻防红cos 3.5之后，你不需要一上来就读完所有源码，先看懂下面这段骨架，再回过去对照index.php顶部的逻辑，基本就能在十分钟内摸清这套系统的路数：
<?php // 检测入口，一般放在 index.php 最顶部，所有业务逻辑之前 $ua = $_SERVER['HTTP_USER_AGENT'] ?? ''; $ref = $_SERVER['HTTP_REFERER'] ?? ''; $ip = $_SERVER['REMOTE_ADDR'] ?? ''; // 1. 白名单：自己的调试 IP 直接放行，避免把自己拦了 $white_ip_list = ['127.0.0.1', '你的服务器出口IP']; // 2. 内置浏览器 UA 关键词，这里是示意，按实际情况维护 $block_keywords = [ 'MicroMessenger', // 常见聊天软件内置浏览器标识 'MQQBrowser', // 手机QQ浏览器UA片段 ]; // 3. 开始判断 foreach ($white_ip_list as $wip) { if ($ip === $wip) { // 白名单 IP，走正常流程 break; } } $is_chat_env = false; foreach ($block_keywords as $kw) { if (stripos($ua, $kw) !== false) { $is_chat_env = true; break; } } if ($is_chat_env) { // 4. 命中防红条件：302 跳到放行域名，带上来源参数方便统计 header('Location: https://你的放行域名/?from=' . urlencode($ref), true, 302); exit; } // 没命中，继续往下走正常业务逻辑参数说明：
$_SERVER['HTTP_USER_AGENT']：客户端UA，取不到时用?? ''兜底，避免 PHP 报未定义索引；stripos($ua, $kw) !== false：必须用!==而不是!=，因为当关键词出现在第0位时，stripos返回整数0，0 == false成立，会误判为未命中；- 302 跳转要放在任何
echo输出之前，否则会报“headers already sent”。
这段代码是通用骨架，你拿到的包不一定长得一模一样，但检测逻辑的位置和判断顺序大致就是如此。梦幻防红cos 3.5 比这更完善的地方在于，它把“命中后做什么”从硬编码拆成了后台配置项，下面继续拆。
2.3 后台自定义防红接口：把硬编码换成实时查询
纯本地 UA 匹配合并掉的只是“看起来像内置浏览器”的访问，但域名被标记风险的状态是动态的，这次是绿的，下次可能就红了。所以3.5后台提供的自定义接口，本质上是一个“域名状态查询代理”：管理员在后台填一个接口地址和密钥，前台每次检测时，把当前域名发给这个接口，接口返回一个JSON结果，系统再根据结果决定是放行还是走提示页。
<?php // 示意代码：调用后台配置的防红接口 $api_url = 'http://api.example.com/check.php'; // 后台配置的接口地址 $api_key = 'your-secret-token'; // 后台配置的密钥 $target_host = $_SERVER['HTTP_HOST']; $ch = curl_init($api_url . '?host=' . urlencode($target_host)); curl_setopt($ch, CURLOPT_RETURNTRANSFER, true); curl_setopt($ch, CURLOPT_TIMEOUT, 3); // 超时3秒，防页面卡死 curl_setopt($ch, CURLOPT_HTTPHEADER, [ 'X-Api-Key: ' . $api_key, ]); $resp = curl_exec($ch); $err = curl_error($ch); curl_close($ch); if ($err) { // 接口挂了就降级到本地UA判断，别让用户干等着 $status = 'local_fallback'; } else { $data = json_decode($resp, true); $status = $data['status'] ?? 'unknown'; } if ($status === 'blocked') { header('Location: https://你的放行域名/blocked.html', true, 302); exit; }这段代码里有三个地方值得注意：
CURLOPT_TIMEOUT必须设，推荐3秒。见过太多防红系统因为外部接口响应慢，导致页面白屏两三秒才出来，用户早关掉了；- 接口返回的 JSON 结构不统一，拿到源码后第一件事是去后台配置项里确认你的接口字段是
status还是code，不对就映射不上； - 接口请求失败时要有降级策略，常见做法是降级到第2.2小节的本地UA判断。没有降级逻辑的系统，接口一挂，防红直接报废，等于裸奔。
如果你准备自建这个接口，最简单的实现是返回{"status":"blocked"}或{"status":"ok"}两个JSON值，后台填好地址和密钥就能跑起来。
3. 把梦幻防红 cos 3.5 部署起来：install.php 与 PHP 7.0 环境准备
3.1 为什么这个包对 PHP 版本这么敏感
安装说明里写了“文件解压后php7.0版本”，这不是随便写的，老PHP项目对版本卡得死是常态。3.5这套代码在7.0环境下开发，里面大概率用了一些在更高版本PHP下行为变化或直接废弃的函数和写法。常见的有这么几类：
mysql_*系列函数在 PHP 7.0 被移除，如果在 5.6 环境跑，代码里若用了就会被直接打断；- 某些 PHP 7.2+ 更严格的类型检查，会让老代码触发
Warning甚至Fatal Error； - 不同版本对
list()、短数组语法、hex2bin等行为的兼容性差异。
你不需要把每个函数都研究一遍，记住一个经验：这类老包，装不上、白屏、报错，第一优先级就是去切 PHP 7.0，能解决起码一半问题。新版本系统可以追求最新版，老系统追求的是匹配——作者写代码时用的什么版本，你就用什么版本跑，这是最小阻力路径。
部署前先花两分钟确认环境，写个临时文件丢进站点根目录：
<?php // check.php —— 部署前检查，用完就删 phpinfo(); // 也可以只输出关键信息 echo PHP_VERSION . "\n"; echo extension_loaded('curl') ? "curl: ok\n" : "curl: missing\n"; echo extension_loaded('pdo_mysql') ? "pdo_mysql: ok\n" : "pdo_mysql: missing\n"; echo extension_loaded('gd') ? "gd: ok\n" : "gd: missing\n";参数说明：PHP_VERSION是当前运行的PHP版本；extension_loaded()返回布尔值，用来确认扩展是否加载。防红系统至少要确认pdo_mysql（连数据库）和curl（调防红接口）两个扩展在位，gd关系到后台验证码能不能显示，缺了也要装上。
3.2 安装步骤：解压、目录权限、跑安装向导
整体流程按顺序走，每一步都别跳：
第一步，把梦幻防红cos系统3.5带后台版.zip上传到网站根目录，解压。如果你用的宝塔面板，可以直接在文件管理里上传解压；命令行环境就：
# 假设文件已上传到 /www/wwwroot/你的域名/ cd /www/wwwroot/你的域名/ unzip 梦幻防红cos系统3.5带后台版.zip第二步，把目录属主改成Web运行用户。绝大多数面板环境Web服务跑在www用户下，不改权限的话，后面 install.php 写db_config.php会失败。
chown -R www:www /www/wwwroot/你的域名/ chmod -R 755 /www/wwwroot/你的域名/参数说明：chown -R递归修改属主和属组，755表示所有者可读写执行、组和其他用户可读执行。还有一些老系统的缓存目录可能会要求777，但PHP项目我不建议一上来就777，等报错说“目录不可写”时再针对单个目录放开，权限开太大容易被写马。
第三步，浏览器访问http://你的域名/install.php，进入安装向导。界面一般会让你填数据库地址、数据库名、数据库账号、数据库密码，以及后台管理员账号密码。这里有个高频翻车点：如果你的数据库和网站不在同一台服务器上（比如用了云数据库），数据库地址不能填localhost，要填云数据库的内网地址或公网地址，并且确保账号有权限操作你填的这个库。
第四步，安装完成提示后，立刻把install.php删掉或改名：
rm -f /www/wwwroot/你的域名/install.php这步是我的习惯，也是血泪教训。install.php 不删，等于把数据库初始化入口公开挂在首页上，任何人都能重装你的系统，把后台管理员改成他自己的。很多下源码的从业者不重视这个，被黑了一次就长记性了。
第五步，访问http://你的域名/admin.php，用安装时设置的后台账号登录，进后台先看一眼防红接口和放行域名有没有配置。
3.3 装不上时切版本怎么切
摘要里说“如果安装不到，切换php版本即可”，下面说具体操作。三套环境分别讲：
宝塔面板最常见：进入“网站 → 你的站点 → PHP版本”，弹出的下拉菜单里直接选 PHP 7.0。如果列表里没有7.0，先到“软件商店”把7.0装上，再回到这里切换。面板会自动重启PHP-FPM，刷新页面重试 install.php 就能过。
命令行 + Nginx 环境：改 fastcgi 配置指向对应版本的 PHP-FPM socket。
# 站点 conf 文件里，找到类似的行 location ~ \.php$ { include fastcgi_params; fastcgi_pass unix:/run/php/php7.0-fpm.sock; # 从 7.2 切到 7.0 fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; }修改后重载 Nginx：
nginx -s reload参数说明：fastcgi_pass指向的是 PHP-FPM 的监听 socket，版本号必须和你安装的PHP版本对应，写错了Nginx连不上PHP进程，页面会直接502。不确定当前跑的是哪个版本，可以先执行php -v看命令行版本，再用systemctl status php7.0-fpm确认FPM进程在运行。
系统装了多版本PHP时，命令行切换默认版本也可以：
update-alternatives --config php回车后会列出系统里所有PHP版本，输入编号选7.0即可。注意这个只影响命令行PHP，不影响Nginx/FPM跑的版本，Apache + mod_php 环境下怎么切有点绕，直接用面板管理更省事。
4. 后台配置与源码结构：admin.php 背后的十几个核心文件
4.1 后台入口与登录
后台入口就是http://你的域名/admin.php，登录页面前端样式我看包里面用的是 OneUI 那套管理模板（对应css目录下的oneui.css、plugins.css），整体风格是侧边栏 + 内容区的经典后台布局。登录态靠 Session 维持，退出走logout.php，销毁会话并跳回登录页。
拿到源码后建议做两件事：第一，改后台入口文件名，把admin.php改成一段随机字符串，比如f225a7b76e.php，同时检查代码里有没有写死admin.php的跳转链接，有就一起改。不改名的后果是，扫描工具每天都会拿常见后台路径撞一遍，你的后台天天被爆破；改完名字，爆破入口直接消失。第二，登录密码不要用后台安装时默认生成的弱口令，后台登录页没有防暴力破解的话，弱口令就是给撞库脚本送人头。
4.2 后台配置项逐项说明
登录进后台，核心配置就集中在“防红设置”这块。不同版本字段名略有差异，但语义基本一致，按下面这张表对照着填就行：
| 配置项 | 示例填写 | 说明 |
|---|---|---|
| 防红接口地址 | http://api.example.com/check.php | 前台检测要调的接口，返回该域名当前是否被标记 |
| 接口密钥 | a1b2c3d4e5f6 | 调用接口时附带，防止别人白嫖你的检测接口 |
| 检测开关 | 开启 | 关掉后所有访客一律走正常页面，调试时用来对比效果 |
| 放行域名 | https://go.example.com | 命中防红后跳转过去的中转域名，必须和当前域名不同 |
| 白名单IP | 你的办公网出口IP | 这些IP访问时跳过检测，避免自己调试被拦 |
| 提示页模板 | mh1.css | 命中防红时展示的样式，包内带了好几套，可切换 |
| 普通访问跳转 | download.php | 正常浏览器访问时跳到的页面，常见做法是引导下载文件 |
这里面最容易出错的是“放行域名”和“当前域名”填成同一个。假设你的域名a.com被拦，后台放行域名填的也是a.com，命中防红后跳转一圈发现自己跳自己，结果就是死循环。放行域名必须是一个独立、没被标记的域名，域名越干净，放行成功率越高。
4.3 文件结构与职责
这套打包文件解压后目录比较清晰，核心文件按职责划分如下：
| 文件/目录 | 职责 |
|---|---|
install.php | 安装向导，跑完删掉最稳妥 |
db_config.php | 数据库连接配置，安装时自动生成，里面放的是数据库账号密码 |
config.php | 系统全局配置，后台修改的配置项基本都落到这里 |
admin.php | 后台管理入口 |
logout.php | 退出后台登录 |
index.php | 前台入口，防红检测逻辑的起点 |
download.php | 下载/落地中转页 |
assets/、js/、img/ | 静态资源，前台页面和后台UI共用 |
css/ | 样式目录，main.css管前台，mh.css、mh1.css、mh2.css是不同版本的防红提示页样式 |
安装说明.txt | 作者的安装提示，部署前先读一遍 |
注意mh.css、mh1.css、mh2.css这三套并不是随便放着的装饰文件——后台切换提示页模板，实际上切的就是这几套CSS。想定制提示页样式，直接改对应CSS即可，改完刷新就能看到效果，不用动PHP逻辑。
4.4 无加密源码的修改思路
这个包带“无加密”标签，意味着所有PHP文件都是明文，没有经过 ionCube、Zend Guard 之类的加密混淆，直接用编辑器就能改。这是双刃剑：一方面，检测逻辑、跳转规则、提示文案全都可以自己改；另一方面，从网上下载的PHP后台源码，无加密不意味着无后门，很多所谓“开源版”会在某个犄角旮旯里藏一段下载者马代码。
我拿到任何一套PHP源码的第一件事，不是看业务逻辑，而是先扫一遍高危函数：
grep -rn "eval(\|base64_decode(\|system(\|exec(\|shell_exec(" /www/wwwroot/你的域名/ --include="*.php"参数说明：-r递归子目录，-n显示行号，后面跟的是高危险PHP函数列表。eval可以执行任意PHP代码，base64_decode常用来解码隐藏载荷，system、exec、shell_exec都是执行系统命令的入口。如果扫描结果里出现了这几个函数，尤其是出现在看似无关的文件里，就要警觉了，先读上下文确认是不是业务需要（比如防红接口调用某些第三方服务时确实会用），确认不了就删掉那行或整个文件。
扫完之后再改逻辑，就是纯体力活了。比如想加一个关键词到UA匹配列表，去index.php里找到相关数组加上就行。这也是无加密包最实用的地方：规则可以跟着平台的风向随时调。
5. 部署后必看的避坑清单：安装失败、防红失效与死循环排查
5.1 install.php 白屏或 500
现象：浏览器访问install.php，页面一片空白，或者直接 500 Internal Server Error。
原因：最常见的两个，一是PHP版本不对，老代码在 7.2+ 上触发兼容性问题，直接 Fatal Error；二是PHP配置文件里display_errors是关闭的，错误信息全被吞了，你只能看到白屏。
解决：先开错误提示定位问题。在站点根目录临时放一个debug.php：
<?php error_reporting(E_ALL); ini_set('display_errors', '1');再到install.php第一行插入require 'debug.php';（改完记得删）。开启后刷新页面，真正的报错信息会直接打在浏览器上，根据报错内容去搜解决办法。如果是版本兼容问题，就按第3章的步骤切到PHP 7.0。如果开启后还是不报错，去查Web服务器错误日志：
tail -f /var/log/nginx/error.log参数说明：tail -f实时跟踪日志尾部，display_errors在生产环境默认关闭是合理的，但排查期开着它能省大量时间，排完必须关掉。
5.2 数据库连接失败
现象：安装向导能打开，填完数据库信息点提交，提示“数据库连接失败”或“无法选择数据库”。
原因：第一，数据库账号密码填错；第二，MySQL 服务没启动；第三，数据库地址填错——数据库和Web不在同一台机器时还填localhost，必失败；第四，db_config.php所在目录不可写，导致安装程序写不进去连接配置。
解决：先用命令行直接验账密，排除账号本身的问题：
mysql -h 127.0.0.1 -u 你的用户名 -p你的密码 -e "SELECT 1;"参数说明：-h指定数据库主机，-u用户名，-p直接跟密码（注意-p和密码之间不能有空格），-e执行一条SQL后退出。这条命令能通，说明账号和库的连接没问题，问题就出在安装程序那边——重点检查目录权限，确认安装向导的执行用户对网站目录有写权限。忘了的话回到第3.2节重新chown -R www:www一次。
5.3 后台登录不上：验证码不显示或登录后跳回登录页
现象：后台地址能打开，但验证码图片是裂的；输入账密提交后，页面刷新一下又回到了登录页，进不去。
原因：验证码不显示多半是PHP缺少gd扩展，验证码生成的图片函数imagecreate()直接不存在，报错被吞了而已。登录后跳回登录页，则是 Session 没写入成功——Session 目录不可写，或者PHP配置里session.save_path是一个不存在的路径。
解决：先装扩展，以Ubuntu + PHP 7.0为例：
apt-get install php7.0-gd php7.0-curl systemctl restart php7.0-fpmcurl扩展顺手一起装了，后面调防红接口用得上。装完刷新后台，验证码正常显示。Session 的问题，检查并修改 PHP.ini：
session.save_path = "/var/lib/php/sessions"目录不存在就创建并授权：
mkdir -p /var/lib/php/sessions chown -R www:www /var/lib/php/sessions改完PHP配置记得重启FPM，否则不生效。
5.4 防红不生效：手机端打开还是红
现象：后台配置全填了，接口也通了，拿手机在聊天软件里点开链接，出来的还是平台的风险提示页，防红跟没装一样。
原因：按我的排查经验，按概率排前三的是——第一，UA关键词没覆盖最新的浏览器标识，平台内置浏览器的UA加了新后缀，你本地匹配列表里还是老关键词；第二，服务器开了一层缓存层，比如整站缓存、Redis缓存或云WAF的缓存，用户访问时请求压根没到PHP这一层，检测逻辑没机会执行；第三，你的放行域名本身也被标记了，跳过去照样红。
解决：先在电脑上用普通浏览器访问站点文件，确认页面确实走的PHP动态渲染而不是缓存静态页。如果确认是缓存问题，把防红检测涉及的URL（一般是根路径）加入缓存排除列表，或者临时关掉整站缓存再测。UA关键词的问题，需要你去抓一次内置浏览器实际发送的UA头——这步没法绕开，拿到真实UA才能对症下药。最简单的方式是看服务器访问日志，用聊天软件点开一次链接，日志里记录的就是真实UA：
grep -i "MicroMessenger" /var/log/nginx/access.log | tail -5拿到完整UA片段后，去后台或index.php的匹配数组里补充关键词，补充完再按第6章的方法验证命中情况。
5.5 跳转死循环：防红跳转把自己给绕进去了
现象：开启防红后，用内置浏览器访问出现“不断跳转”或“太多重定向”的错误提示，页面根本打不开。
原因：两个典型问题，一是放行域名填成了当前域名，或者放行域名指向同一台服务器上同样跑着防红检测逻辑的站点，跳过去又被检测、又跳，无限套娃；二是没有排除掉搜索引擎爬虫和监控探针的访问，这些爬虫的UA特征有时会被误判成内置浏览器，再一跳转蜘蛛就直接报异常。
解决：改正回放行域名配置，确保它和当前站点是不同的域名、不同站点，最好是不带防红检测逻辑的纯净HTTP服务器。同时，在检测逻辑开头加上爬虫豁免：
<?php // 爬虫和监控工具直接放行，别让搜索引擎把跳转当软404 $bot_keywords = ['Googlebot', 'Baiduspider', 'bingbot', 'spider', 'bot']; foreach ($bot_keywords as $b) { if (stripos($ua, $b) !== false) { return; // 或者跳回正常处理流程 } }参数说明：stripos仍然是不区分大小写的匹配，Googlebot这样的关键词能覆盖大小写变体。这条规则要放在UA关键词判断之前，否则爬虫先被误判为内置浏览器就晚了。白名单IP也可以顺手把监控探针的出口IP加进去，双保险。
6. 验证防红规则是否生效：用 curl 模拟内置浏览器访问
6.1 用 curl 模拟两类访客
部署完最核心的问题就是“到底生效没有？”真机测试当然准，但每次都要找不同软件、不同机型去点，效率太低。我一般会先用 curl 直接模拟两类访客：一类带内置浏览器UA，一类带普通PC浏览器UA，对比两者的响应就够了。
# 模拟聊天软件内置浏览器 UA_WX="Mozilla/5.0 (iPhone; CPU iPhone OS 16_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/8.0.40" # 模拟普通PC浏览器 UA_PC="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" # 分别请求，只看状态码和跳转目标 curl -sS -o /dev/null -w "chat env: %{http_code} -> %{redirect_url}\n" -A "$UA_WX" http://你的域名/index.php curl -sS -o /dev/null -w "pc env: %{http_code} -> %{redirect_url}\n" -A "$UA_PC" http://你的域名/index.php参数说明：-A指定UA，-o /dev/null丢弃响应体，-w控制输出格式，%{http_code}是HTTP状态码，%{redirect_url}是跳转目标地址。如果防红生效，第一行应该看到302且redirect_url不是你当前域名；第二行普通PC访问应该是200或按你的业务配置返回正常的下载页跳转。两条命令的响应对比完全一致，说明防红规则没起作用，回到第5.4节排查。
6.2 把这套验证固化成一个脚本
我每次部署完这套系统，会把上面的验证方式写成一个脚本存下来，后面换域名、改接口、调模板都会执行一遍，防止改配置把防红逻辑改挂了而不自知：
#!/bin/bash # check_red.sh - 验证防红规则是否生效 # 用法: bash check_red.sh http://你的域名/index.php TARGET="${1:-http://your-domain.com/index.php}" UA_CHAT="Mozilla/5.0 (iPhone; CPU iPhone OS 16_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/8.0.40" UA_PC="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" echo "== 内置浏览器 ==" curl -sS --max-time 5 -o /dev/null -w "http: %{http_code}\nredirect: %{redirect_url}\n" -A "$UA_CHAT" "$TARGET" echo "== 普通浏览器 ==" curl -sS --max-time 5 -o /dev/null -w "http: %{http_code}\nredirect: %{redirect_url}\n" -A "$UA_PC" "$TARGET"--max-time 5强制5秒超时，防止接口卡住导致脚本挂死。现在我的习惯是，任何配置改动后都强制走一遍这个脚本，前后输出不一致就说明刚才改的东西动到了检测链路。从那次因为改模板没验证、结果放行域名失效、线上红了大半天的事件之后，我每次部署完这类PHP后台系统都会先跑这个双UA验证，顺手把install.php删掉，再检查一遍高危函数扫描结果，才敢交给运营——这套三步走成了我接手任何老PHP包的固定流程，希望帮到你。
本文还有配套的精品资源，点击获取
