cPanel & WHM 日志文件：服务器管理员完整技术参考

cPanel 和 WHM 维护着一套全面的多层日志架构，记录 Web 服务、邮件投递、身份验证、数据库和系统操作中的每一个重要事件。每个日志文件都有其独特的位置、格式和诊断用途——了解该查阅哪个日志以及如何高效解析，是五分钟快速修复与数小时故障排查之间的关键差异。

本指南涵盖生产环境中 cPanel 和 WHM 的所有关键日志文件，包括文件路径、日志格式、真实诊断用例，以及经验丰富的系统管理员实际使用的命令行技术。

为什么 cPanel 和 WHM 日志文件需要您的关注

日志文件不仅仅是审计记录——它们是任何基于 Linux 的托管堆栈的主要诊断工具。在 cPanel 环境中，日志记录范围涵盖 Apache/LiteSpeed、Exim、MySQL/MariaDB、PHP-FPM、ProFTPd、Pure-FTPd、cPHulk 以及 cPanel/WHM 应用层本身。

被动处理日志的管理员——仅在故障发生后才查看日志——往往会错过早期预警信号：内存逐渐耗尽、渐进式暴力破解攻击、慢查询积累以及证书相关的投递失败。主动分析日志可在这些问题演变为事故之前发现规律。

cPanel 环境中日志分析的三个核心操作目标：

• 根本原因诊断：关联 Apache、PHP 和 MySQL 日志中的时间戳，精确定位请求链中的故障点。
• 性能基准测试：在慢查询、高延迟 HTTP 响应和资源消耗进程耗尽服务器容量之前识别它们。
• 安全取证：从 SSH 认证日志、cPHulk 记录和 Exim 拒绝日志中重建攻击时间线，以确定范围和修复步骤。

Apache 日志文件

Apache 是 cPanel 环境中的默认 Web 服务器，但 LiteSpeed 作为直接替代品越来越普遍。两者都以兼容格式将日志写入相同的常规路径。

Apache 错误日志

位置： /usr/local/apache/logs/error_log

这是任何 cPanel 故障排查会话中最常查阅的日志。它捕获 Apache 生成的每个错误：PHP 致命错误（当 PHP 作为模块运行时）、.htaccess 语法失败、mod_rewrite 规则不匹配、权限拒绝、SSL 握手失败和上游代理错误。

许多指南遗漏的一个关键细节：每个域名的错误日志也存在，通常比全局错误日志更直接有用。它们位于：

/home/username/logs/domain.com-ssl_error_log
/home/username/logs/domain.com-error_log

这些每个 VirtualHost 的日志将错误隔离到单个账户，在共享服务器上诊断特定站点时可大幅减少干扰信息。

常见诊断模式——.htaccess 重写循环：

grep "RewriteRule" /usr/local/apache/logs/error_log | tail -50

常见诊断模式——按域名筛选 PHP 致命错误：

grep "PHP Fatal" /home/username/logs/domain.com-error_log | tail -30

Apache 访问日志

位置： /usr/local/apache/logs/access_log

全局访问日志默认以组合日志格式记录每个 HTTP/HTTPS 请求：

IP - username [timestamp] "METHOD /path HTTP/version" status_code bytes_sent "referer" "user_agent"

每个域名的访问日志存储在 /home/username/logs/domain.com-access_log，是分析单个账户流量的正确来源。

实际使用场景：

• 通过 IP 频率识别 DDoS 或爬虫攻击：

awk '{print $1}' /usr/local/apache/logs/access_log | sort | uniq -c | sort -rn | head -20

• 查找最近一小时内的所有 500 系列错误（需要日志时间戳为最近）：

grep " 5[0-9][0-9] " /usr/local/apache/logs/access_log | tail -200

• 通过 User-Agent 字符串检测漏洞扫描器：

grep -i "sqlmap|nikto|masscan|nmap" /usr/local/apache/logs/access_log

边缘情况：在 WHM 中启用了 piped logging 的服务器上，访问日志可能为空或内容极少，因为日志正被直接传输到日志处理守护进程。如果发现访问日志意外为空，请检查 WHM > Apache 配置 > 全局配置中的 CustomLog 指令。

Apache SSL/TLS 日志

位置： /usr/local/apache/logs/ssl_error_log

此日志捕获 TLS 协商失败、证书验证错误和密码套件不匹配。在调试主错误日志中未出现的 HTTPS 连接问题时至关重要。当用户报告浏览器 SSL 警告，或通过 AutoSSL 自动续签证书静默失败时，请首先查看此处。

cPanel 和 WHM 应用日志

cPanel 访问日志

位置： /usr/local/cpanel/logs/access_log

记录向 cPanel 界面（端口 2082/2083）发出的每个 HTTP 请求。每个条目包括已认证的用户名、执行的操作和来源 IP。此日志是审计特定用户在其 cPanel 账户内所执行操作的主要来源。

查找特定用户执行的所有操作：

grep "username" /usr/local/cpanel/logs/access_log | grep -v "GET /favicon"

cPanel 错误日志

位置： /usr/local/cpanel/logs/error_log

捕获来自 cPanel 应用层的内部错误——失败的 API 调用、损坏的 cPanel 插件、cPanel 后端的 Perl 脚本错误以及模板渲染失败。如果 cPanel 界面抛出 500 错误或特定功能损坏，这是首先要检查的日志。

WHM 登录日志

位置： /usr/local/cpanel/logs/login_log

记录所有 WHM 认证事件——成功登录、失败尝试、双因素认证挑战和 API 令牌使用。此日志对于检测未经授权的管理员访问至关重要。

查找所有失败的 WHM 登录尝试：

grep "FAILED" /usr/local/cpanel/logs/login_log | awk '{print $NF}' | sort | uniq -c | sort -rn

cPHulk 暴力破解保护日志

位置： /usr/local/cpanel/logs/cphulkd.log

这是大多数指南完全跳过的日志，但它是操作上最重要的日志之一。cPHulk 是 cPanel 内置的暴力破解保护守护进程。它监控 SSH、FTP、cPanel 和 WHM 登录尝试，并自动封锁超过阈值限制的 IP。

当合法管理员被锁定在 WHM 或 SSH 之外时，答案几乎总是在此日志中。您也可以直接查询 cPHulk 数据库：

mysql -u root cphulkd -e "SELECT ip, user, type, timestamp FROM brutes ORDER BY timestamp DESC LIMIT 20;"

从命令行解除特定 IP 的封锁：

/usr/local/cpanel/bin/cphulk_pam_ctl --unblock=192.168.1.1

cPanel 更新和安装日志

位置： /var/cpanel/updatelogs/

每次 cPanel 更新运行都会在此目录中生成一个带时间戳的日志文件。当 cPanel 升级破坏某个服务或某个功能在更新后消失时，此目录包含更新过程的完整输出，包括软件包安装或配置迁移期间发生的任何错误。

ls -lt /var/cpanel/updatelogs/ | head -5

电子邮件日志文件

在 cPanel 中，电子邮件始终是最复杂的故障排查子系统。cPanel 的默认 MTA Exim 生成三个独立的日志流，每个流服务于不同的诊断目的。

Exim 主日志

位置： /var/log/exim_mainlog

这是主要的电子邮件事务日志。Exim 处理的每封邮件——无论是入站还是出站——都会在此生成条目，涵盖接受、路由决策、投递尝试和最终处置（已投递、延迟或退回）。

日志条目结构：

2024-01-15 14:23:01 1rPqXY-0003aB-Kc <= sender@example.com H=mail.example.com [203.0.113.10] P=esmtps S=4821 id=<abc123@example.com>
2024-01-15 14:23:02 1rPqXY-0003aB-Kc => recipient@domain.com R=virtual_user_delivery T=virtual_userdelivery_pipe
2024-01-15 14:23:02 1rPqXY-0003aB-Kc Completed

消息 ID（1rPqXY-0003aB-Kc）是在整个日志中追踪单封邮件的关键：

grep "1rPqXY-0003aB-Kc" /var/log/exim_mainlog

追踪来自特定账户的所有出站邮件（垃圾邮件调查的关键）：

grep "U=username" /var/log/exim_mainlog | grep "<=" | awk '{print $7}' | sort | uniq -c | sort -rn | head -20

真实边缘情况：当被入侵的 WordPress 安装正在发送垃圾邮件时，Exim 主日志将显示发送用户为 nobody（Apache 进程用户）而非 cPanel 账户用户名。专门过滤此情况：

grep "U=nobody" /var/log/exim_mainlog | grep "<=" | tail -50

Exim 拒绝日志

位置： /var/log/exim_rejectlog

记录 Exim 在 SMTP 连接阶段拒绝接受的所有邮件——甚至在它们进入队列之前。拒绝原因包括 RBL 黑名单命中、SPF/DKIM/DMARC 失败、无效的 HELO 字符串、中继拒绝或速率限制。

此日志对两种场景至关重要：诊断为何合法入站邮件被拒绝，以及审计垃圾邮件过滤规则的有效性。

查找最常见的拒绝原因：

grep "rejected" /var/log/exim_rejectlog | grep -oP "(?<=: ).*" | sort | uniq -c | sort -rn | head -10

Exim 紧急日志

位置： /var/log/exim_paniclog

紧急日志捕获 Exim 致命错误——配置文件解析失败、无法绑定到端口 25、数据库连接失败和 TLS 库错误。如果此文件非空，Exim 已遭遇严重故障。在许多情况下，非空的紧急日志意味着邮件队列已完全停止处理。

# Check if the panic log has content — a non-zero exit means there are critical errors
[ -s /var/log/exim_paniclog ] && echo "CRITICAL: Exim panic log has entries" && tail -20 /var/log/exim_paniclog

Dovecot 日志

位置： /var/log/dovecot.log（以及 /var/log/dovecot-info.log 用于信息性事件）

Dovecot 在 cPanel 环境中处理 IMAP 和 POP3 连接。认证失败、连接限制、邮箱锁定问题和配额执行事件都会出现在此处。当用户无法连接到其电子邮件客户端时，Dovecot 的日志是正确的查看位置——而非 Exim。

grep "auth failed" /var/log/dovecot.log | awk '{print $NF}' | sort | uniq -c | sort -rn | head -10

数据库日志文件

MySQL/MariaDB 错误日志

位置： /var/lib/mysql/$(hostname).err

此日志记录 MySQL/MariaDB 启动和关闭事件、InnoDB 恢复操作、复制错误、表损坏警告以及导致服务器级错误的任何查询。它是诊断数据库崩溃和意外重启的权威来源。

动态获取实际路径：

mysql -u root -e "SHOW VARIABLES LIKE 'log_error';"

检查 InnoDB 损坏或崩溃恢复事件：

grep -i "crash|corrupt|recovery|innodb" /var/lib/mysql/$(hostname).err | tail -30

MySQL 慢查询日志

位置： /var/lib/mysql/slowquery.log（启用时）

慢查询日志在大多数 cPanel 安装中默认禁用。启用它是您可以在数据库密集型服务器上采取的最高价值性能调优操作之一。

在运行时启用慢查询日志（无需重启）：

mysql -u root -e "SET GLOBAL slow_query_log = 'ON'; SET GLOBAL long_query_time = 1; SET GLOBAL slow_query_log_file = '/var/lib/mysql/slowquery.log';"

启用后，使用 mysqldumpslow 聚合并排名最差的查询：

mysqldumpslow -s t -t 10 /var/lib/mysql/slowquery.log

这将输出按总执行时间排名的前 10 个查询——查询优化最具可操作性的起点。

关键细节：对大多数应用程序而言，long_query_time 为 1 秒是合理的起始阈值，但高流量站点应考虑 0.5 秒甚至 0.25 秒，以捕获单次执行较快但在负载下累计开销较大的查询。

MySQL 通用查询日志

位置：可配置，通常为 /var/lib/mysql/general.log

通用查询日志记录发送到服务器的每条 SQL 语句。除非有特定的、有时间限制的诊断原因，否则不要在生产环境中启用此功能。在繁忙的服务器上，此日志每小时可增长数 GB，本身就会导致性能下降。短暂启用，重现问题，然后立即禁用。

mysql -u root -e "SET GLOBAL general_log = 'ON'; SET GLOBAL general_log_file = '/var/lib/mysql/general.log';"
# ... reproduce the issue ...
mysql -u root -e "SET GLOBAL general_log = 'OFF';"

系统日志文件

系统消息日志

位置： /var/log/messages

内核和系统守护进程消息日志。硬件错误（磁盘 I/O 故障、内存 ECC 错误）、OOM（内存不足）杀手事件、网络接口状态变化和内核模块加载事件都会出现在此处。当服务器无响应或意外重启时，这是首先要检查的日志。

检查 OOM 杀手事件（服务器因内存耗尽静默终止进程）：

grep -i "oom|killed process|out of memory" /var/log/messages | tail -20

检查可能表明驱动器故障的磁盘 I/O 错误：

grep -i "I/O error|blk_update_request|ata.*error" /var/log/messages | tail -20

安全认证日志

位置： /var/log/secure

记录所有基于 PAM 的认证事件：SSH 登录（成功和失败）、sudo 命令执行、su 尝试和 cron 触发的认证。这是 SSH 安全取证的主要日志。

通过失败的 SSH 登录次数识别顶级攻击 IP：

grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -20

审计服务器上执行的所有 sudo 命令：

grep "sudo:" /var/log/secure | grep "COMMAND" | tail -50

真实边缘情况：在 sshd_config 中设置了 UseDNS yes 的服务器上，失败登录条目可能显示主机名而非 IP 地址，这会破坏上述 IP 提取的 awk 模式。验证您的 sshd_config 设置并相应调整字段索引。

内核环形缓冲区

位置：仅运行时——通过 dmesg 访问

内核环形缓冲区不是持久文件，但对于诊断在启动时或启动后不久、syslog 初始化之前发生的硬件级事件至关重要。在基于 systemd 的系统（CentOS 7+、CloudLinux 7+）上，可通过以下方式获取持久内核日志：

journalctl -k --since "1 hour ago"

FTP 日志文件

ProFTPd 日志

位置： /var/log/proftpd/proftpd.log

ProFTPd 是 cPanel 环境中的默认 FTP 守护进程。此日志记录所有 FTP 会话事件：认证尝试、目录遍历、文件上传、下载和断开连接。

查找所有失败的 FTP 登录尝试：

grep "USER|PASS" /var/log/proftpd/proftpd.log | grep -i "failed|incorrect" | tail -30

识别大文件上传（潜在的恶意软件暂存）：

grep "STOR" /var/log/proftpd/proftpd.log | awk '{print $NF, $0}' | sort -rn | head -20

Pure-FTPd 日志

位置： /var/log/pureftpd.log

Pure-FTPd 日志在某些配置中默认写入 syslog，这意味着条目可能出现在 /var/log/messages 而非专用文件中。验证活动日志目标：

grep "VerboseLog|AltLog" /etc/pure-ftpd.conf

PHP 和应用级日志

PHP 错误日志

cPanel 环境中的 PHP 错误可能记录在多个位置，具体取决于使用的 PHP 处理程序：

PHP-FPM 池日志路径包含 PHP 版本号。对于 EasyApache 4 管理的 PHP 8.2：

tail -f /opt/cpanel/ea-php82/root/usr/var/log/php-fpm/error.log

每账户 PHP 错误日志记录可通过在账户的 php.ini 或 .htaccess 中添加以下内容来启用：

log_errors = On
error_log = /home/username/logs/php_errors.log

cPanel 特定服务和安全日志

cPanel 服务管理器日志

位置： /usr/local/cpanel/logs/safeapacherestart_log

记录 cPanel 服务管理器触发的每次 Apache 重启事件，包括重启原因及是否成功。用于将 Apache 停机与配置更改关联起来。

cPanel 备份日志

位置： /usr/local/cpanel/logs/cpbackup/

每次备份运行都会在此目录中生成每账户日志文件。当备份静默失败时，此目录包含具体错误——无论是磁盘空间问题、数据库转储失败还是权限问题。

ls -lt /usr/local/cpanel/logs/cpbackup/ | head -10
grep -i "error|fail" /usr/local/cpanel/logs/cpbackup/username.log

cPanel AutoSSL 日志

位置： /var/cpanel/logs/autossl/

AutoSSL 是 cPanel 的自动化 Let’s Encrypt / Sectigo 证书配置系统。当 SSL 证书续签失败时，详细原因——DCV 失败、速率限制、域名验证不匹配——会记录在此处。此日志对于在证书过期导致浏览器警告之前诊断 HTTPS 证书过期问题至关重要。

ls -lt /var/cpanel/logs/autossl/ | head -5
tail -100 /var/cpanel/logs/autossl/$(ls -t /var/cpanel/logs/autossl/ | head -1)

如果您需要管理多个域名的 SSL 证书或需要 AutoSSL 无法提供的证书，来自专业提供商的 SSL 证书提供 Let’s Encrypt 所不具备的扩展验证和通配符选项。

日志文件对比参考

命令行日志分析技术

实时和历史分析的基本命令

实时跟踪日志（最常见的系统管理员工作流程）：

tail -f /var/log/exim_mainlog

使用 multitail 同时跟踪多个日志（通过 yum install multitail 安装）：

multitail /usr/local/apache/logs/error_log /var/log/exim_mainlog

从特定字段提取并统计唯一值：

awk '{print $1}' /usr/local/apache/logs/access_log | sort | uniq -c | sort -rn | head -20

在压缩的轮转日志归档中搜索：

zgrep "keyword" /var/log/exim_mainlog.*.gz

过滤特定时间窗口内的日志条目：

awk '/15/Jan/2024:14:00/,/15/Jan/2024:15:00/' /usr/local/apache/logs/access_log

统计 HTTP 状态码分布：

awk '{print $9}' /usr/local/apache/logs/access_log | sort | uniq -c | sort -rn

cPanel 中的日志轮转

cPanel 使用 logrotate 管理日志文件大小。cPanel 管理日志的轮转配置位于 /etc/logrotate.d/。Apache 日志由 cPanel 自己的 splitlogs 机制轮转，该机制还将全局访问日志拆分为每域名文件。

检查特定服务的当前 logrotate 配置：

cat /etc/logrotate.d/syslog

手动触发日志轮转以进行测试：

logrotate -f /etc/logrotate.d/syslog

关键陷阱：如果日志轮转配置错误或磁盘空间耗尽，日志文件可能增长到填满整个分区，导致所有服务同时失败。将监控 /var/log 和 /usr/local/apache/logs 所在分区的磁盘使用情况作为标准操作实践。

集中式日志管理和告警

对于生产环境——特别是在 VPS 托管或独立服务器上——依赖手动日志检查在规模上是不够的。实施以下方法之一：

通过 rsyslog 转发进行日志聚合：配置 /etc/rsyslog.conf 将日志转发到集中式 syslog 服务器或 SIEM 平台。即使服务器本身被入侵，这也能保留日志。

ELK Stack（Elasticsearch、Logstash、Kibana）：通过 Filebeat 代理摄取 cPanel 日志，使用 Logstash 管道解析，并在 Kibana 中可视化模式。这种方法可在几秒钟内对数月的日志历史进行全文搜索。

Fail2ban 集成：Fail2ban 读取 /var/log/secure 和 /var/log/exim_mainlog，并自动创建 iptables 规则来封锁攻击 IP。它独立于 cPHulk 运行，提供额外的防御层。

GoAccess 用于 Apache 日志分析：GoAccess 是一个基于终端的实时日志分析器，无需完整的 ELK 部署即可从 Apache 访问日志生成 HTML 报告：

goaccess /usr/local/apache/logs/access_log --log-format=COMBINED -o /var/www/html/report.html

在带 cPanel 的 VPS 上管理多个 cPanel 账户或经销商设置的管理员可从集中式日志可见性中获益显著，因为各账户日志在各自的主目录下是相互隔离的。

电子邮件基础设施日志关联

cPanel 环境中最被低估的诊断技术之一是将 Exim 日志与 Dovecot 日志和系统认证日志交叉参考，以追踪电子邮件安全事件的完整生命周期。

场景：用户报告其账户正在发送他们未撰写的垃圾邮件。

第 1 步——识别与该账户关联的 Exim 消息 ID：

grep "U=username|from=<.*@userdomain.com>" /var/log/exim_mainlog | grep "<=" | head -20

第 2 步——检查发送是否源自 Web 应用程序（PHP mail()）或已认证的 SMTP：

grep "1rPqXY-0003aB-Kc" /var/log/exim_mainlog | grep -E "P=esmtpa|P=local"

P=esmtpa 表示已认证的 SMTP 提交。P=local 或 P=pipe 表示本地脚本（可能是被入侵的 Web 应用程序）。

第 3 步——如果是 P=esmtpa，从 Dovecot 或 Exim 认证日志中查找来源 IP：

grep "username" /var/log/dovecot.log | grep "Login" | tail -20

第 4 步——将该 IP 与 /var/log/secure 中的 SSH 活动以及 cPanel 访问日志中的控制面板登录进行交叉参考。

这个四步关联技术可以明确回答入侵是凭证盗窃、易受攻击的 Web 应用程序还是被暴力破解的 SMTP 账户——而这一区别完全决定了修复路径。

对于运营自有邮件基础设施的组织，配备专用日志监控的正确配置电子邮件托管环境提供了防止跨账户邮件声誉损害所需的隔离。

域名和 DNS 相关日志注意事项

DNS 解析失败通常表现为应用程序日志中的错误，而非专用 DNS 日志中的错误。cPanel 用于 DNS 的 Named（BIND）默认记录到 /var/log/messages。

检查 BIND 错误：

grep "named" /var/log/messages | grep -i "error|failed|refused" | tail -20

当 DNS 传播问题影响新注册或转移的域名时，将 BIND 日志与 cPanel 域名配置关联起来有助于判断问题是区域文件错误还是注册商级别的传播延迟。如果您通过同一平台管理域名注册和 DNS，具有集成 DNS 管理的域名注册可简化此诊断链。

实用决策矩阵：首先检查哪个日志

关键技术要点

• 始终首先检查每域名日志（/home/username/logs/），而非全局 Apache 日志——它们包含相同的数据，但干扰信息大幅减少。
• 非空的 /var/log/exim_paniclog 是 P1 事故——Exim 可能已完全停止处理邮件队列。
• /usr/local/cpanel/logs/cphulkd.log 处的 cPHulk 日志是任何锁定场景的正确首要查看位置，而非 /var/log/secure。
• 在任何生产数据库服务器上启用 MySQL 慢查询日志（long_query_time = 1）——它提供的性能情报值得其极小的开销。
• 将 Exim 的 P= 字段与 Dovecot 认证日志交叉关联，以明确判断垃圾邮件事件源于凭证盗窃还是被入侵的 Web 应用程序。
• 日志轮转配置错误是一种静默失败模式——满载的 /var/log 分区将同时导致所有服务崩溃而无任何警告。
• zgrep 适用于轮转的 .gz 归档——历史日志分析无需手动解压文件。
• 通过 rsyslog 进行集中式日志转发是处理敏感数据的任何服务器的最低可行安全态势——获得 root 访问权限的攻击者可以删除本地日志。

常见问题解答

cPanel 错误日志在哪里？

主要的 cPanel 应用程序错误日志位于 /usr/local/cpanel/logs/error_log。Apache Web 服务器错误位于 /usr/local/apache/logs/error_log，每账户 PHP 错误位于 /home/username/logs/domain.com-error_log。每个服务在不同路径维护其自己的日志文件。

如何通过 Exim 日志追踪特定电子邮件？

Exim 处理的每封邮件都会收到一个在 /var/log/exim_mainlog 中可见的唯一消息 ID。运行 grep "MESSAGE_ID" /var/log/exim_mainlog 以检索与该邮件关联的每个日志条目，从接受到最终投递或退回。

为什么我的 Exim 紧急日志非空，我应该怎么做？

非空的 /var/log/exim_paniclog 表示 Exim 遇到了致命错误——通常是配置解析失败、TLS 库问题或无法绑定到端口 25。阅读紧急日志条目，然后使用 exim -bV 检查 Exim 的配置语法，并使用 ss -tlnp | grep :25 验证端口 25 未被其他进程占用。

如何找到哪个 PHP 脚本正在通过 Apache 发送垃圾邮件？

过滤 Exim 主日志中由 Apache 用户发送的邮件：grep "U=nobody" /var/log/exim_mainlog。然后将时间戳与 Apache 访问日志条目交叉参考，以识别触发邮件函数的 URL。X-PHP-Originating-Script 标头（如果在 php.ini 中启用）也将识别确切的脚本文件。

检查服务器是否正在遭受 SSH 暴力破解攻击的最快方法是什么？

运行 grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -10 以查看按尝试次数排名的顶级攻击 IP 地址。然后通过检查 /usr/local/cpanel/logs/cphulkd.log 或直接查询 cPHulk 数据库来验证 cPHulk 是否已封锁它们。