企业网站信创国产化改造怎么做？从云上选型、适配迁移到安全上线

我们接触企业网站信创改造时，经常会遇到一个很现实的问题：云服务器选好了，国产操作系统也装好了，数据库和中间件也都有了，网站是不是直接搬过去就行？

如果真这么简单，信创改造大概只需要一张采购清单。实际做下来，真正费心的往往不是“买什么”，而是这些东西放到一起之后，原来的官网还能不能照常打开，编辑还能不能照常发稿，数据还能不能照常查，最后上线时能不能少折腾用户。

所以我们更愿意把企业网站信创国产化改造理解成一次“换底座、不停生意”的搬家：先选好新房，再把水电线路理顺，家具一件件搬过去，最后确认门牌号没有挂错。

一、企业网站信创国产化改造：先看“底座”，再看网站

既然是“换底座”，第一件事自然不是看网站页面，而是先看项目要求里写了什么。处理器是海光（Hygon）、鲲鹏（Kunpeng）还是其他路线？操作系统用哪个版本？数据库和中间件有没有指定范围？这些往往决定了后面应用怎么改。

我们做前期梳理时，会先把现有环境和目标环境摆在一起看。原来是什么服务器、什么操作系统、什么数据库，程序用什么语言，CMS用了多久，还有没有历史接口和定时任务。这个过程有点像搬家前翻柜子：平时觉得东西不多，真要装箱时，角落里总能翻出几个“谁也不敢扔”的老物件。

这些老物件在网站里，往往就是旧驱动、老插件、特殊SQL、接口地址或者写死的文件路径。平时不声不响，换了环境以后，它们反而最容易先出来刷存在感。

二、云上信创选型：ECS、国产处理器和国产操作系统镜像要一起看

现有环境盘清楚、项目要求也确认以后，接下来才真正轮到“新房怎么选”。如果网站准备部署到云上，首先要落到云服务器选型上。但“有一台ECS”还不够，我们还会继续往下看：这台ECS是什么处理器架构、在哪个地域、能选什么操作系统镜像，后面的数据库和中间件能不能在这套组合里正常运行。

1. ECS与国产处理器：先把计算底座选对

项目要求海光，就先确认云平台上是否有对应的海光实例；要求鲲鹏，也同样先看实际可选的实例和地域。因为处理器架构一旦确定，后面的操作系统镜像、软件包和运行环境都会跟着它走。先把底座选对，后面会省掉不少“装到一半才发现不合适”的返工。

图-云服务器ECS国产处理器实例（g9h系列）

2. 国产操作系统镜像：名字对了，版本也要对

处理器选完，接着就是操作系统镜像。比如项目要求银河麒麟V10，除了看名称，还要确认具体版本、处理器架构、镜像来源和授权方式。名字一样，不代表每个版本都能和后面的软件顺利搭伙。

这就像同一个型号的门锁，看着差不多，钥匙却不一定通用。真正要验证的，是“这一个版本”能不能和“这一个处理器、这一个数据库、这一个中间件”一起工作。

图-国产操作系统镜像与版本选择

三、企业网站信创架构怎么搭：一台服务器够不够？

服务器型号和操作系统选好了，下一步就不是继续往购物车里加东西，而是想清楚这些资源怎么摆。很多人第一次看方案都会问：官网到底需要几台服务器？

这个问题没有固定答案。访问量、业务重要程度、安全要求、预算，以及能不能接受单点故障，都会影响架构。

对不少正式企业官网来说，一个比较常见的起点是把应用和数据库分开。应用服务器跑CMS、网站程序和中间件，数据库服务器专门保存内容和业务数据。外部访问从公网入口进入，经过安全防护或代理，再到应用层；数据库尽量留在内网。

为什么要分开？不是为了把架构图画得更复杂，而是为了以后好维护。应用忙了，可以单独扩；数据库要备份，也更容易管；出了问题，还能更快判断到底是谁“闹情绪”。

如果只是一个访问量不大的普通官网，也没必要为了“看起来专业”硬拆成十几台机器。两个人吃饭摆二十套餐具，场面确实很大，收拾起来也是真累。架构够用、清楚、后面好维护，比堆数量更重要。

图-企业网站云上信创整体架构示意图

四、域名备案和 SSL 证书，也别等到上线前一天才想起来

云服务器选好了，架构也画清楚了，是不是就可以开始搬网站？

还别急。有两个看起来不起眼、真到了上线时却很容易卡住的东西：域名备案和 SSL 证书。

如果网站部署在中国大陆境内的云服务器上，域名备案通常需要提前安排。新建网站可能涉及首次备案，已有网站更换云服务商或接入方式时，也要提前确认是否需要办理接入、变更等手续。

这件事最好别留到上线前几天才处理。网站程序可以连夜改，备案流程可不会因为项目经理着急就突然学会加班。

SSL 证书则关系到网站能不能通过 HTTPS 正常访问。现在企业官网基本都会使用 HTTPS，所以除了申请和部署证书，还要检查域名是否匹配、证书链是否完整、到期时间是否合理，以及 HTTP 跳转 HTTPS 后，图片、附件和接口还能不能正常访问。

我们在做网站迁移时，会把域名解析、备案状态、SSL 证书、公网入口、负载均衡或反向代理、应用服务器放在同一条访问链路里看。因为用户最后看到的是一个网址，但这个网址背后其实要经过不少“关卡”。其中任何一关没接好，浏览器最后给出的答案都只有一句：打不开。

图-域名备案与SSL证书并行流程

五、网站信创适配改造：数据库、中间件和应用要一起看

云资源、整体架构和对外访问链路都理清以后，接下来才到了信创改造里真正容易“动到网站”的部分：适配。

新环境准备好，只能说明“新房钥匙拿到了”，并不代表旧家具都能原样搬进去。真正的适配，往往要把原有环境和目标环境一项项对上：哪些可以直接迁，哪些要升级，哪些必须替换，哪些会牵涉代码修改。

1. 国产数据库适配：数据搬过去了，程序还认不认识？

比如原来用的是MySQL、Oracle或SQL Server，目标环境改成国产数据库，最容易产生一个错觉：数据已经导入，新数据库也能启动，那是不是就结束了？

实际还要看网站怎么用这些数据。SQL写法、字段类型、函数、分页方式、字符集和数据库驱动都可能不同。我们会特别去试搜索、统计、排序、批量发布、定时任务这些不太显眼的功能。首页能打开当然是好事，但真正的“彩蛋”有时要等编辑点下发布按钮才跳出来。

2. 中间件适配：服务亮绿灯，不等于网站已经正常

中间件换掉以后，我们不会只看服务有没有启动，而是顺着用户真正访问网站的路线去走：页面能不能打开，图片和附件能不能加载，HTTPS是否正常，后台能不能登录，大文件上传会不会失败，接口会不会超时。

服务启动更像餐厅把灯打开了。灯亮了当然是第一步，但厨房能不能出菜、端出来的菜对不对，还得真的点几道试试。

3. CMS与网站程序：最后还是要回到“能不能正常发稿”

技术团队很容易把注意力放在CPU、数据库和服务状态上，编辑真正关心的却很朴素：文章还能不能发？图片能不能传？搜索还能不能用？表单有没有丢？

所以CMS和网站程序的验证，最终要回到日常使用。栏目、文章、附件、账号权限、审核发布、搜索、表单、接口和历史链接，都应该真正走一遍。底层换得再漂亮，如果编辑每天发稿都要绕路，这个“平稳改造”就很难让人点头。

图-网站程序信创适配关系图

六、开发语言需要信创改造吗？先看要求，再看运行环境

说到应用适配，还有一个很容易被一起问到的问题：Java、PHP、Node.js这些开发语言要不要“换成国产的”？

这个问题不适合一刀切。更稳妥的做法，是先看项目要求到底管到哪一层。

有些项目重点要求处理器、操作系统、数据库和中间件符合既定范围，并不意味着开发语言本身一定要重写。但语言背后的运行环境必须验证。Java要看JDK，PHP要看版本和扩展，Node.js要看运行时和原生模块，数据库驱动也要确认。

换句话说，代码可能很淡定，某个用了很多年的驱动却可能第一个举手说“我不去了”。所以这里看的不是名字够不够“国产”，而是整套应用能不能在目标环境里稳定运行。

七、网站信创迁移怎么少停机：旧站继续跑，新环境先验证

该选的选好了，该适配的也基本跑通了，接下来就要面对一个很现实的问题：怎么把网站真正搬过去，而且尽量少影响正在访问的用户？

我们更倾向于把大部分工作放在新环境里完成。旧网站继续对外服务，新环境在旁边部署、迁移、适配和测试。这个过程很像店铺搬家：新店先把水电、货架和收银系统试好，没必要第一天就把老店卷帘门拉下来。

旧站继续运行，就意味着期间还会新增新闻、产品资料或者其他内容，所以数据通常不能只迁一次。正式切换前，需要把这段时间新增和修改的数据补齐，再安排最终切换。

真正切换时，还要顺着访问链路再看一遍：域名或公网入口进来以后，经过安全防护、代理或负载均衡，最终是不是落到新的应用和数据库上。否则最尴尬的情况不是新站打不开，而是大家庆祝“新站上线”以后，真正忙着出页面的还是那台兢兢业业的旧服务器。

图-旧站在线、新环境建设验证、最终切换的双轨迁移示意图

八、企业网站信创上线前：安全漏洞扫描、渗透测试和性能验证

数据迁过来了，正式域名也准备切了，新网站测试访问一切正常——这时候是不是就能直接上线？

我们通常不会这么快下结论。

网站“能打开”和“适合正式上线”其实是两回事。信创改造动过操作系统、数据库、中间件和运行环境，原来没暴露的问题，到了新环境可能会换个地方冒出来。

所以在正式切换前，我们会把功能、安全和性能再过一遍。安全检查也不只是“跑一次扫描”。从实际报告的结构来看，基础环境会关注开放服务、HTTP/HTTPS、证书、SSL/TLS、SSH等内容；到了网站应用层，还要继续看登录与权限、会话、接口输入、文件上传、信息泄露以及CMS和中间件相关问题。

这有点像新办公室装修完以后验收：灯能亮只是说明通电了，门锁、消防、网络和各个房间能不能正常使用，还得一项项确认。网站也是一样，首页打开只是起点，不是安全检查的终点。

图-安全漏洞扫描报告示例-1

图-安全漏洞扫描报告示例-2

实际的安全扫描报告通常会把发现项按高、中、低风险分开，再按SSL/TLS、SSH、WWW等服务继续归类。读者并不需要逐条看懂每一个编号，项目真正关心的是：有没有需要优先处理的问题，问题落在哪一层，以及整改以后有没有重新验证。

渗透测试会再往应用里面走一步。登录、权限控制、会话、接口参数、文件上传这些地方，平时正常使用时可能看不出问题，只有换一个角度去尝试，才知道有没有能“绕过去的门”。这也是为什么扫描结果和渗透测试不能完全互相替代。

发现问题以后，报告不是终点。更关键的是形成“扫描或测试—确认风险—整改—复测—再上线”的闭环。体检报告打印得再漂亮，也不能替代治疗，这个道理放到网站安全上也一样。

性能测试则结合网站真实访问规模，看页面响应、数据库查询、上传下载和资源使用是不是正常。普通企业官网没必要为了一个漂亮数字把服务器压到“冒烟”，但至少要知道正常高峰来了，它能不能稳稳接住。

九、做完企业网站信创国产化改造，最后应该交付什么？

环境搭好了，网站迁完了，安全和性能也验证过了，项目是不是到这里就算结束？还差最后一件事：把这次改造真正“交出来”。

如果最后只剩一句“服务器已经开通、软件已经安装”，那更像完成了一次采购。我们理解的完整企业网站信创国产化改造，应该把前面的选择、适配、迁移和验证串成一条能说得清楚的链路。

• 云上资源和版本能对应项目要求：处理器架构、操作系统镜像、数据库、中间件等产品和版本信息清楚可查。

图-海量数据库版本

图-银河麒麟操作系统版本

图-中间件tonghttpserver版本

• 整体架构说得清楚：访问从哪里进来，应用在哪里，数据库在哪里，备份和安全边界怎么安排。

• 原环境到新环境的适配关系有记录：哪些直接迁、哪些升级、哪些替换、哪些改了代码。

• 网站内容和日常功能经过验证：不只看首页，还要看后台发布、搜索、表单、附件和接口。

• 安全漏洞扫描、应用安全测试和性能验证有结果，发现的问题有整改和复测。

• 上线切换有安排：最终数据同步、访问验证和必要的回退路径都提前想清楚。

这些东西放在一起，才是一套以后还能维护、还能解释、出了问题也知道从哪里查的环境。

图-信创改造验收与交付清单

十、几个关于网站信创改造的常见问题

前面的流程走完以后，还有几个在企业网站信创改造项目里经常被问到的问题，我们放在最后一起回答。

Q：企业网站信创国产化改造通常要改哪些东西？

通常会从云服务器和处理器选型开始，再看操作系统、数据库、中间件、CMS或网站程序、数据迁移，最后做到功能验证、安全漏洞扫描、应用安全测试、性能验证和上线切换。具体改到哪一层，要以项目要求和现有系统情况为准。

Q：选了国产处理器，是不是就算完成云上信创了？

还不够。处理器只是底座，后面还要看操作系统镜像、数据库、中间件和应用能不能在这套组合里正常工作。把几个国产产品名称放在一起，并不等于业务已经跑通。

Q：应用服务器和数据库一定要分开吗？

不是绝对要求，但正式企业官网通常值得优先考虑分开部署。访问量很小、要求简单时，也可以结合预算和安全要求调整。架构不是台数越多越正确。

Q：Java、PHP这些开发语言一定要换吗？

先看项目要求。即使语言本身不要求替换，也要确认JDK、PHP版本、扩展、数据库驱动和相关组件能否在目标处理器和操作系统上稳定运行。

Q：数据库换成国产数据库，网站代码一定要改吗？

不一定。原网站使用的SQL越简单，适配可能越轻；如果大量使用特定数据库的函数、存储过程或特殊语法，需要调整的地方就会更多。最终还是要通过实际测试判断。

Q：网站信创改造期间会停很久吗？

多数部署、适配和测试可以提前在新环境完成。真正需要控制影响的，通常是最后的数据同步和流量切换。前面的验证做得越充分，最后的切换窗口越容易控制。

准备建设、改版或做信创适配？先把官网现状和目标理清楚

说到底，不同企业现在面对的问题并不一样。有的是准备从零建设官网，有的是现有网站用了很多年，需要重新设计和升级；也有一些央国企和大型集团，在官网建设之外，还要同时考虑国产化、信创适配和安全要求。

我们参与过央国企及大型企业官网建设、改版和技术适配项目。无论你现在是准备新建官网、旧站改版、迁移上云，还是在现有网站上推进信创国产化改造，都可以先把现有情况、功能需求和目标环境梳理清楚。先弄明白网站要解决什么，再决定是重建、迁移还是适配，通常比一开始就围着产品清单转更省事。