怎么限制网页访问权限

去年帮一个做外贸的限制朋友处理网站问题，发现他们后台的网页订单数据居然能被任何登录用户看到——只要改一下URL里的订单编号就行。这事让我意识到，访问限制网页访问权限不是权限可选项，而是限制底线。你不需要成为安全专家，网页但得知道几道基本的访问门怎么关。

最直接的权限办法是服务器层面拦截。Apache环境下，限制在需要保护的网页目录放一个.htaccess文件，写入几行规则就能挡住特定IP或要求密码。访问Nginx则是权限在配置里加allow和deny指令。我见过一个后台管理系统，限制管理员嫌麻烦没设限制，网页结果被爬虫扫到登录接口，访问三天内被撞库两万次。后来加了IP白名单，攻击流量直接归零。这种防护简单粗暴，但有效——前提是你得知道自己的IP会变，别把自己也锁在外面。

如果用户群体不固定，密码认证更灵活。HTTP基本认证弹窗丑但够用，适合内部工具。更常见的是用Session或Token做应用层验证。这里有个坑：很多人只在前端隐藏按钮，后端接口却不校验权限。我测试过一个客户系统，普通用户登录后看不到“删除”按钮，但用Postman直接调用删除接口，照样能删掉别人的数据。前端隐藏是体验，后端校验才是安全。每个接口都得问一句：当前用户有没有权限操作这个资源？

角色划分是绕不开的。给用户打标签——管理员、编辑、访客——每个角色对应不同的路由和API权限。别把判断逻辑散落在各个页面里，集中写一个中间件或过滤器。比如Express框架里，app.use('/admin', checkAdmin)一行就能拦住所有未授权访问。我习惯把权限规则写成一个配置文件，新增角色时改配置就行，不用翻遍代码找if语句。

文件上传目录是另一个重灾区。有人把用户上传的合同PDF直接放在Web根目录下，文件名用时间戳，以为别人猜不到。但目录列表没关，访问/uploads/就能看到所有文件。正确做法是把文件存到Web根目录之外，通过一个脚本读取并校验权限后再输出。或者至少关掉目录索引，文件名用随机哈希。这点小改动能挡住大部分低级扫描。

最后说个容易忽略的：日志和监控。限制权限不代表没人尝试突破。记录下谁在什么时候访问了哪个受限资源，失败了几次。我见过一个案例，攻击者用不同IP慢速爆破后台密码，每次只试几个，持续一周。没有日志的话根本发现不了。设置个阈值，比如同一账号十分钟内失败五次就临时锁定，能大幅提高攻击成本。

这些手段不需要全上，但至少得覆盖认证、授权和审计三个环节。别等数据泄露了才想起来加密码。花半小时配置一下，比事后写事故报告轻松得多。