官网上线前安全检查应按真实访问链路完成。开发环境安全，不代表代理、上传目录和生产账号配置正确。
检查外部入口
HTTPS、后台认证、文件下载和错误页，清除测试账号与调试输出。
检查生产权限
运行账号、数据库和上传路径只具备必要权限，秘密文件位于受控目录。
准备恢复与监控
备份可恢复、告警有人接收、回退步骤明确。检查完成后用真实域名验证。
生产上线收回临时便利配置
撤回测试账号、调试输出和公开安装入口，确认密钥与备份不在可下载目录。
验证真实咨询、权限和恢复流程，安排运行接手人，上线不能只确认域名能够打开。
例如正式站仍保留安装向导，应撤回并验证无法访问，不能只把入口链接从导航删除。
相关阅读：企业网站安全基线：资产、风险与上线检查。