如何设置网页访问权限

上个月给客户做企业站，何设对方市场部主管直接甩来一句：“后台别让实习生看见，置网上次他把价格改成负数，页访差点闹出笑话。问权”这活儿看着简单，何设真做起来坑不少。置网网页访问权限，页访说白了就是问权三件事：谁能看、谁能改、何设谁能删。置网但大部分人只想到登录密码，页访结果权限设置形同虚设。问权

先分清层次。何设最粗的置网粒度是“页面级”，比如公司官网的页访“关于我们”谁都能看，但“内部报价”必须登录。实现方式粗暴点的，直接在服务器上给目录加个`.htaccess`密码框，或者用Nginx的`auth_basic`。这招适合静态站，几行配置的事。但缺点是密码明文存服务器，团队里谁手一抖发群里，整个目录就裸奔了。

稍微正规点的做法，是上“角色权限”。拿WordPress举例，它默认有订阅者、贡献者、编辑、管理员这几档。但真正要命的是插件权限设置——很多站长给员工开个“编辑”角色，结果这家伙能装插件，顺手装了个后门主题，整站被挂马。我见过不止一次。所以别偷懒，得按实际职责拆：编辑只能改文章，不能碰主题文件；运营能发产品，但删不了历史订单。这得靠自定义角色插件，比如User Role Editor，把每个勾选框过一遍。

动态网站更麻烦。你后端有API，前端有按钮，权限得控制到“接口级”。比如电商后台，仓库管理员能看库存列表，但调价接口得封死。这时候别只靠前端隐藏按钮——懂行的人F12一改就能调接口。必须后端验证，每个请求都检查Session里的角色。写个中间件，三行代码的事：if (!in_array($role, ['admin', 'stock'])) { http_response_code(403); exit; }。但很多新手图省事，前端v-if判断一下就完事，纯粹自欺欺人。

还有一类是“临时权限”。给外包开发开个测试账号，完事儿了忘了删，结果人家离职后拿这账号登录，把数据库导走了。我习惯用“时效性token”或一次性链接，比如生成一个24小时有效的URL，传给对方，过期自动失效。或者用GitHub的临时协作邀请，比直接给密码干净得多。别嫌麻烦，权限这玩意儿，开闸容易关闸难。

最后说个反直觉的细节：权限不是越严越好。有次给客户做CRM，我按银行标准，每个字段都设独立权限，结果销售天天打电话抱怨“看个客户电话都要找管理员审批”。后来改成“大模块权限+敏感字段脱敏”——普通销售能看到客户名字和最近跟进记录，但手机号中间四位打码，要完整号码得申请临时查看。效率上来了，数据也没裸奔。权限的粒度，得跟使用场景匹配，别一刀切。

设置完了，记得做两件事：一是拿个低权限账号自己走一遍流程，看看哪里漏风；二是写个每月自动检查脚本，把超过90天没登录的账号冻结，把角色为“管理员”但最近没操作记录的人列出来提醒。权限不是设完就完的，它是活的东西，得定期修剪，跟花园一样。