1，按照官方的要求设置好目录权限，然后把根目录权限禁止写入（把sitemap.xml权限单独给写入），这样对方就篡改不了index.php文件，也无法站根目录上传文件，很多人没改根目录权限。
2，就算是按照上述要求做了，对方还是可能破解后台登录密码，修改网站TDK，虽然1.6.9版本<script>自动转码，但是标题被修改也很恶心。那么有一个很麻烦的方法，就是每次更新完后，把data目录禁止写入或者修改后台文件后缀名，需要更新的时候改回来，这种适合不是频繁更新的。
3，如果按照是上述做了还被黑，那说明服务器有漏洞，那就把网站都改成静态，把生成的静态文件传到阿里云OSS，用CDN域名访问OSS，费用比服务器成本低的多（需要做好防护，以防被DOS攻击和盗刷），速度更快，这种适合网站没有搜索、筛选等动态模块。