文件变化监测需要一个来源可靠的基线。若把当前所有文件直接设为可信，可能将未查明的异常一起接受；若完全不区分缓存与程序，又会让大量正常变化淹没真正需要处理的告警。
划分文件的业务性质
把核心程序、主题插件、上传资料和缓存日志分开。代码目录的新增PHP与缓存目录周期性生成文件，风险和预期不同。记录哪些路径由发布流程写入、哪些由运行时生成，不能仅按扩展名将所有变化判为恶意。
基线应来自已核实版本
对可核对的官方文件比较可信包；对客户定制保存版本库或经过确认的发布副本。正在清理中的站点不要直接用当前目录建立最终基线。文件大小和修改时间只是辅助线索，必要时保存散列用于之后比较。
排除规则要有明确理由
缓存、临时导出和日志可能需要降低告警噪声，但应限制到具体目录和用途。不要把整个wp-content排除以获得干净面板。对仍允许上传的目录，虽然变化频繁，也需要另外检查异常脚本和不应公开的资料。
把告警接到变更记录
计划更新时记录窗口、操作者与发布版本，之后将告警与实际变更对应。无对应记录的新增或修改进入调查。还要验证告警确实能送到负责人，不以插件里“发送成功”替代实际收到和可处理的通知。
关键区别
可信基线：核实后的发布版本；不是当前全部文件。
正常变化：缓存上传与日志；也需边界控制。
异常变动：缺少对应记录；进入独立调查。
怎样确认处理到位
正常发布能与告警对应，未知代码变化会被发现，排除规则不覆盖重要程序；负责人收到的通知包含可定位信息且不泄露秘密。
容易误判的边界
监测只说明发生变化，不自动解释变化是否合法；基线建立与事件调查不能用一次“全部忽略”代替。
