我真是服了，半夜接到服务器商电话说CPU跑满IO读写异常，登上去一看，FTP日志里一堆陌生IP在疯狂下载我的wp-config.php和.env配置文件，甚至还有人在根目录创建了一堆.xxx的加密勒索文件——就因为我图省事，装完宝塔面板新建FTP账户的时候，那个‘目录’一栏默认是‘/’，我特么看都没看就点了确认，直接把整个服务器系统的根目录暴露给了FTP！现在想想后背都发凉，这要是被黑进去提了权，我这几年攒的站全得完蛋。
真不是吓唬新手，FTP这玩意儿看着简单，坑多到能埋人。你以为装个面板开个账户就完事了？目录权限和用户隔离搞不好，分分钟变公共厕所。还有那些用默认端口21的，简直是开着大门喊‘来扫我啊’，我后来全改成了高位端口，世界清静了一半。最骚的是，有些廉价虚拟主机为了省资源，FTP服务烂得一匹，传个主题包都能超时，导致网站半截子更新，前台直接白屏，那感觉就像看着自己的站当场猝死。
我的建议？能不用FTP就别用。现在正经的运维谁还用这老古董啊，SFTP（SSH协议）它不香吗？传输加密，权限跟着系统用户走，安全得多。如果非要用FTP（比如某些坑爹主机商只支持这个），记住三条保命法则：第一，目录一定要精确到网站子目录，比如`/www/wwwroot/yoursite`，千万别给‘/’；第二，密码给我搞成20位以上大小写数字符号混合，别用生日；第三，定期查日志，看到异常登录IP立马封禁。别学我，抽了三根烟才把心跳压下来，然后花了通宵时间重装系统、恢复备份、改端口、设防火墙规则，现在看到FTP这三个字母都PTSD。
对了，最后补一刀，数据库千万别通过FTP备份，明文传输跟裸奔没区别。直接用mysqldump命令本地导出，然后用SFTP拉回来。哎，说多了都是泪，这行水太深，且行且珍惜吧。
