堡塔防篡改应用如果开启，pbootcms的static目录被保护了，不能上传，不被保护，会被上传木马文件，怎么办？
这是一个在使用宝塔防篡改系统时非常经典的 “安全与业务冲突” 的问题。
pbootcms 的 static 目录通常用于存放用户上传的图片、附件等静态文件。如果完全锁死，网站功能会受限（无法上传图片）；如果完全放开，黑客一旦找到漏洞，就会把大马、小马（.php 文件）上传到该目录下执行，从而控制服务器。
要解决这个问题，核心思路是：“允许上传文件，但绝对禁止执行脚本”。你可以通过以下几种组合拳来完美解决：
方案一：宝塔防篡改设置“例外排除”（推荐）
宝塔防篡改应用支持设置排除规则或指定后缀保护。
开启防篡改，将整个网站目录保护起来。
在防篡改的设置中，把
/static/目录加入到排除目录（或者叫排除列表）中。这样，static目录就可以正常上传文件了。关键一步：在防篡改的“禁止非指定后缀文件创建”中，确保
.php、.jsp、.asp等脚本后缀被严格禁止。
方案二：通过 Nginx/Apache 彻底关闭 static 目录的执行权限
仅仅在防篡改里放开 static 还不够，必须在 Web 服务器层面切断木马的执行路径。只要在这个目录下，任何 .php 文件都变成文本下载或者返回 403 错误，木马就形同虚设。
1. 如果你使用的是 Nginx：
进入宝塔面板 -> 网站 -> 对应网站的“设置” -> 配置文件，在最后一个 } 之前，加入以下代码：
location ~* ^/static/.*.(php|php5|sh|pl|py)$ { deny all;
}
作用：任何访问
/static/目录下以.php等结尾的请求，都会被直接拒绝（返回 403）。
2. 如果你使用的是 Apache：
进入宝塔面板 -> 网站 -> 对应网站的“设置” -> 伪静态（或者直接在 /static/ 目录下新建一个 .htaccess 文件），加入以下代码：
<Directory "/www/wwwroot/你的网站目录/static">
<FilesMatch "(?i)\.(php|php5|sh|pl|py)$">
Order allow,deny
Deny from all
</FilesMatch></Directory>
方案三：利用 PbootCMS 自带的安全配置
PbootCMS 自身也有一层防线。你可以检查并强化它：
打开
/config/config.php（或相关配置文件）。找到
upload相关的配置，检查allow_ext（允许上传的后缀）。严格检查是否包含了
php、php5、phtml、phps等危险后缀。如果有，立刻删掉！只保留jpg、jpeg、png、gif、zip等安全格式。
总结最佳实践流程
开启宝塔防篡改。
在防篡改设置中，将
/static/目录设为例外（允许写入）。紧接着，去网站的 Nginx/Apache 配置文件里，封死
/static/目录的.php执行权限。定期去宝塔的“木马查杀”工具扫描一下网站。
通过这种“防篡改放行 + 目录禁执行”的方法，既不影响后台正常上传产品图片，又能彻底堵死木马运行的可能。
希望以上内容对你有所帮助！如果还有其他问题，请随时提问。 各类知识收集 拥有多年CMS企业建站经验，对 iCMS， LeCMS， ClassCMS， Fastadmin， BadouCMS， PbootCMS， PHPCMS， 易优CMS， YzmCMS， 讯睿CMS， 极致CMS， Wordpress， HkCMS， YznCMS， WellCMS， 等各类cms的相互转化，程序开发，网站制作，bug修复，程序杀毒，插件定制都可以提供最佳解决方案。
