网站访问权限不是设置一道简单的开关，它更像给不同的网站人发不同的钥匙。你手里那串钥匙能开哪扇门，访问取决于你在服务器或后台里怎么分配角色。权限我见过一个做外贸的设置朋友，网站后台被前员工顺手改了价格，网站损失了十几万。访问他后来才明白：默认允许所有人访问管理页面，权限等于把保险柜密码贴在门上。设置

最直接的网站办法是改服务器配置文件。用Nginx的访问话，你可以在站点配置里加一段location /admin/ { allow 192.168.1.0/24; deny all; }。权限这意思是设置只让公司内网IP进后台，其他全挡在外面。网站Apache也类似，访问用.htaccess写Require ip 192.168.1.0/24。但有个坑：如果你自己在家办公，宽带IP是动态的，今天放行明天就失效。我一般建议配合VPN，把内网IP段固定下来。

更灵活的方式是用Web应用防火墙（WAF）或CDN的访问规则。Cloudflare的防火墙规则里，你可以按国家、IP、User-Agent甚至请求频率来限制。比如有人疯狂扫你的登录接口，设一条“5分钟内请求超过20次就挑战验证码”。这比封IP好用，因为封IP容易误伤共用出口的整个小区。我试过用Cloudflare的“Under Attack”模式，它自动弹出JS挑战，正常用户点一下就能过，脚本小子直接卡死。

如果你用的是WordPress这类CMS，插件能省不少事。比如“WPS Hide Login”把登录地址从/wp-admin改成自定义路径，再配合“Limit Login Attempts”限制试错次数。但插件装多了会拖慢速度，而且有些插件本身有漏洞。我自己的做法是：后台目录加一层HTTP Basic认证，再改登录路径。这样就算有人猜到了新路径，还得再过一道密码弹窗。

还有一类权限是给搜索引擎爬虫看的。robots.txt文件能告诉爬虫别抓某些目录，但这不是安全措施——它只是礼貌请求，恶意爬虫根本不看。真正要藏的东西，比如用户数据备份、配置文件，应该放在Web根目录之外，或者用.htaccess直接拒绝所有访问。我见过有人把config.php放在根目录，结果被直接下载下来，数据库密码全暴露。

最后说个容易忽略的点：权限要定期清理。离职员工的账号、临时开的测试IP、半年前为了调试放行的规则，这些都会变成后门。我每季度会拉一遍访问日志，看看有没有陌生IP在尝试登录。有个客户的后台日志里，居然有连续三个月每天凌晨三点来自同一个俄罗斯IP的登录尝试，虽然没成功，但说明防护规则没生效——他忘了保存配置。

设置访问权限不是一劳永逸的事。它更像给房子换锁，你得知道谁有钥匙，也得定期检查锁有没有被撬过的痕迹。别指望一个插件或一条规则解决所有问题，分层设防、最小权限、定期审计，这三条比任何复杂配置都管用。

(责任编辑：百科)