页脚底部凭空多出六个隐藏外链，全部指向博彩站，链接用 display:none 包着，前台看不见但源码里有。乍看像缓存或者权限的锅，追下去往往不是。
grep -rn 'display:\s*none' themes/*/footer.php find themes -name '*.php' -newermt '-7 days' -ls
追下去是这么回事：主题的 footer.php 被写入了恶意代码，文件修改时间和上次发布对不上。后台账号用的是弱口令，也没有文件完整性校验。
「页脚外链被篡改」相关的验证我通常做两遍，改完一次、隔天再看一次，确认不是临时生效。一次只改一处，改完立刻验证，几个改动叠在一起，出问题就说不清是谁导致的。
先做最小复现，能稳定跑出来的问题，排查成本会低一个数量级。别只看报错的最后一行，往上看几行，真正的起因通常在上面。
具体做法是，先备份现场再清理，把注入的整段删掉并核对文件哈希；改后台密码、开两步验证，排查同目录其他文件；加文件完整性监控，模板目录变更就告警。
验收就看一点，页脚源码里不再有隐藏外链，模板目录哈希与发布包一致。