波仔
🕸️ 第七章 Web网站的创建
📄 一句话概括

CMS 把【写内容】和【做网页】拆开，让不懂代码的人也能更新网站；但全世界四成网站挤在同一套系统上，也就成了同一批漏洞的靶子。

📝 本节和前面几节的关系

7-3 讲了内容要提前准备。这一节回答【准备好了之后谁来管】：内容管理系统（CMS）。教材 7-4 的关键词只有【CMS】一个——它是【应检查的项目】里最影响长期成本的一项。

一、CMS 把两件事拆开了

没有 CMS 的时代，改一个标点要找人改代码、重新上传。CMS 做的事情很简单：把内容存进数据库，把页面模板固定下来，编辑在后台写完点发布就行。

它拆开的是两件事：内容的作者和页面的制作者。市场、运营、客服都能自己更新页面，不用排队等开发。

这一层关系在第二章出现过：服务器端的脚本语言那一节里，CMS 就是 PHP 最典型的用法——同一套程序，配不同的模板和插件，长出一千个不同的网站。

二、现在的实际占有率：四成网站同一套系统

看 W3Techs 2026 年 9 月底的数据：

CMS 占全部网站 占已知 CMS 网站
WordPress 40.2% 58.7%
Shopify 5.4% 7.8%
Wix 4.2% 6.1%
Squarespace 2.4% 3.6%
Joomla 1.1% 1.6%
Webflow 0.8% 1.2%
Drupal 0.6% 0.9%

还有 31.5% 的网站检测不到 CMS——多是手写页面或静态站。

这两个百分比千万别混用：40.2% 的分母是【所有网站】，58.7% 的分母是【能识别出 CMS 的网站】。混着说，数字就错了。

WordPress 本身在慢慢下滑：2025 年 12 月 43.2% → 2026 年 5 月 41.9% → 2026 年 9 月 40.2%，九个月掉 3.0 个百分点（相对跌幅 6.9%）。但它的 CMS 份额仍是第二名 Shopify 的 7.5 倍，短期内没有被取代的迹象。

三、自己写还是套 CMS

对比项 自己开发 用现成 CMS
上线时间 几周到几个月 几小时到几天
前期费用 高（要人月） 低（模板 + 插件）
维护责任 全在自己 官方与社区分担，插件要自己盯
定制自由度 完全自由 受模板与插件限制
风险点 人走了没人接手 插件漏洞、版本过旧

判断办法很直接：如果网站的主要内容是【文章、产品、图片】，用 CMS；如果核心价值在【业务逻辑】（订单规则、计费、审批流），把 CMS 当成后台的一块，前后端自己写。

用 CMS 就必须接受一件事：它的安全性等于核心版本加所有插件的安全性的乘积。 大多数被挂马的 WordPress 站，问题不在核心，而在某个半年没更新的插件。所以选插件要克制——装十个用不到的插件，就是给自己多开十个洞。

四、动手 Demo：算一算 WordPress 掉了多少、还领先多少

两个百分点听起来不多，换个算法就知道分量——尤其要分清【绝对跌幅】和【相对跌幅】。

a, b = 43.2, 40.2        # 2025 年 12 月、2026 年 9 月的占比
print("  九个月跌幅 = %.1f 个百分点" % (a - b))
print("  相对跌幅 = %.1f%%" % ((a - b) / a * 100))
print("  与第二名 Shopify 的倍数 = %.1f 倍" % (58.7 / 7.8))

实跑输出：

--------------------------------------------------------------------
CMS——全世界四成网站都在用同一套系统
--------------------------------------------------------------------
  【内容管理系统（CMS）】把【写文章】和【做网页】分开：编辑写文字、
  传图片，页面由系统生成。看现在的实际占有率：

  CMS             占全部网站     占已知 CMS 网站
  -----------------------------------------------
  WordPress       40.2%          58.7%
  Shopify         5.4%           7.8%
  Wix             4.2%           6.1%
  Squarespace     2.4%           3.6%
  Joomla          1.1%           1.6%
  Webflow         0.8%           1.2%
  Drupal          0.6%           0.9%
  -----------------------------------------------
  （W3Techs 2026-09-29 口径；另有 31.5% 的网站检测不到 CMS——
  多是手写页面，或者干脆是个静态站。）

  两个百分比别混用：40.2% 是【所有网站】里的占比，
  58.7% 只在【能识别出 CMS 的网站】里算。混着说就是错的。

  WordPress 正在慢慢掉：

  时间              占全部网站
  -----------------------------
  2025 年 12 月     43.2%
  2026 年 5 月      41.9%
  2026 年 9 月      40.2%
  -----------------------------
  九个月掉 3.0 个百分点（相对跌幅 6.9%），但它的 CMS 份额
  仍是第二名 Shopify 的 7.5 倍——短期内没有被取代的迹象。

  那到底该自己写，还是套一套 CMS：

  对比项         自己开发           用现成 CMS
  ---------------------------------------------------------------
  上线时间       几周到几个月       几小时到几天
  前期费用       高（要人月）       低（模板 + 插件）
  维护责任       全在自己           官方与社区分担，插件要自己盯
  定制自由度     完全自由           受模板与插件限制
  风险点         人走了没人接手     插件漏洞、版本过旧
  ---------------------------------------------------------------
  经验做法：内容站、企业站用 CMS；业务逻辑复杂的系统，
  把 CMS 当成【后台的一块】，前后端自己写。

看前两行：掉 3.0 个百分点，相对跌幅 6.9%。同一件事的两种说法——写文章时要说清用的是哪一种，这正是第七章反复强调的【口径】。 看第三行：7.5 倍。即使在下滑，WordPress 与第二名的差距仍然是倍数级的。市占率第一的系统，意味着最多的教程、最多的插件、最多的服务商，也意味着最集中的攻击目标。 记住 31.5% 那个数字：还有三成网站不用任何 CMS。 它们既没有插件漏洞的风险，也没有一键更新的便利——选 CMS 不是随大流，是拿便利换风险。

30 秒实验

  1. 打开一个你熟悉的企业网站，从页脚或源码里找找是哪个 CMS（提示：源码里的 wp-content 就是 WordPress）。
  2. 在你的 WordPress（或其它 CMS）后台数一数装了多少插件，看看有几个是半年没更新的。
  3. 试着说出你公司网站里，哪一块内容【最需要编辑自己改】——那就是 CMS 该管的范围。

常见误区

  1. 错误：40.2% 和 58.7% 是同一个意思，随便用哪个都行。——纠正：分母不同。 前者是所有网站里的占比，后者只在能识别出 CMS 的网站里算。引用时必须说清楚。
  2. 错误：用 CMS 就等于不安全。——纠正：不安全的是【不更新的插件】。 核心版本保持更新、插件只用必要的几个，CMS 完全可以很稳。
  3. 错误：自己开发就一定比 CMS 好。——纠正：看内容形态。 内容站用自研等于自找维护负担，业务系统套 CMS 等于处处受限。选型看的是内容结构，不是技术优越感。
自测三问（点开对答案） 1. CMS 到底帮网站解决了什么问题？ —— **把【写内容的人】和【做网页的人】分开。** 编辑在后台写、点发布，不必每次都找开发改代码。 2. WordPress 的 40.2% 和 58.7% 有什么区别？ —— **分母不同。** 40.2% 是【所有网站】里的占比；58.7% 只在【能识别出 CMS 的网站】里算。**引用时必须注明用的是哪一个。** 3. 用 CMS 之后，最大的安全风险在哪里？ —— **在插件与版本。** 核心有官方补丁，**但每个插件都要自己跟更新**——装得多、半年不更，就是给自己开洞。

相关笔记