市区一个做了四年的旅游网站，老板被提醒有安全漏洞，赶紧找人加固。加固完漏洞是堵上了，可预订表单提交不了了，首页轮播图也不动了。客人订不了线路，他比没加固前还慌。老站加固和兼容，天生就是对矛盾，今天讲怎么两全。
加固为啥会让老站出毛病
原理不复杂。安全加固往往要升级底层环境、拦截异常请求、收紧权限。老网站的代码是几年前的写法，新环境一严，老代码里那些不规范的地方就原形毕露，不是这里报错就是那里失灵。这不是加固错了，是老站底子松，一紧就露怯。
正确顺序：先测试再上线
稳妥的做法是三步。整站备份，这是后悔药，不多说了。把网站复制一份到测试环境，在测试环境里加固、升级，然后挨页点、挨功能试，表单提交一遍、支付走一单、手机端看一遍。全正常了，再把正式站切换过去。旅游网站那老板后来就是这么返工的，测试环境里修了六处不兼容，正式上线一次成功。
千万别在正式站上直接动手。边加固边让客人用，出了问题你都不知道是加固弄的还是本来就有。测试环境就是排练场，排练顺了再登台，这是规矩。
哪些加固动作最不容易出事
预算紧的话，先做这几样低风险的：后台密码改强、登录地址换掉、程序版本补到最新、没用的插件删掉。这几样几乎不会影响前台功能，风险小收益大。大动底层环境的加固，留给测试环境慢慢调，别赶时间。
对了，加固上线后头一周多盯着点。让店里的人每天点一遍核心功能，预订、留言、支付都试一次。有些兼容问题很隐蔽，测试时没触发，客人用起来才冒头。这一周盯紧了，后面就稳了。旅游网站那老板现在养成了习惯，每周一早上自己把网站当客人用一遍，他说这比看报表踏实。
对了，加固这事建议固定节奏，别等出事才想起来。旅游网站那老板现在每年淡季做一次全面检查和加固，成了雷打不动的规矩。他说网站跟人一样，年年体检，小毛病早治，大病不来。这个道理，做过几年网站的人都懂。
总结
老站加固怕兼容问题，解法就是别直接动正式站：备份、测试环境演练、验收无误再切换。低风险的几件小事随时能做，大手术必须先进排练场。你要加固的话，先问服务商一句：有没有测试环境。答没有的，换一家再谈。