内容摘要：上个月，公司一个实习生误把内部报价单的链接发到了客户群里。链接本身没加密，谁拿到都能看。三小时后，竞争对手的销售就拿着我们的底价去撬客户了。这不是技术漏洞，是权限设置的问题——你根本没设防。 网站访问

上个月，何设公司一个实习生误把内部报价单的置网站访链接发到了客户群里。链接本身没加密，问权谁拿到都能看。何设三小时后，置网站访竞争对手的问权销售就拿着我们的底价去撬客户了。这不是何设技术漏洞，是置网站访权限设置的问题——你根本没设防。

网站访问权限，问权说白了就两件事：谁能看，何设能看什么。置网站访别想复杂了，问权从最简单的何设做起。

先分清你的置网站访内容等级。公开的问权、登录才能看的、只有特定账号能看的，三类分清楚。很多小网站死在这步——所有页面都套同一个模板，后台文章全设成“公开”，等于把家门钥匙挂在门框上。我见过一个做在线教育的，课程视频全是公开URL，爬虫一抓一个准，一个月被盗了上千小时课程。

技术实现上，别急着上什么复杂的SSO单点登录。多数场景，一个简单的用户角色系统就够用。用PHP的话，一个session变量存角色ID，每个页面开头检查一下，没权限就踢回登录页。十几行代码的事。Python的Flask框架更简单，装饰器一行搞定：@login_required。别觉得这太基础，基础的东西往往最管用。

但光有登录墙不够。你得想清楚“登录后看到什么”。很多后台系统把所有菜单都渲染出来，只是点了才提示“无权限”。这等于告诉别人“这里有秘密，但你打不开”。正确的做法是——没权限的菜单压根不显示。前端判断权限，后端再验证一次，双重保险。前端控制体验，后端控制安全，别搞反了。

有个细节大多数人忽略：文件目录的权限。你网页代码写得再严谨，如果服务器上/uploads/文件夹是777权限（任何人可读写），那等于白干。黑客直接访问yoursite.com/uploads/private.pdf，绕过你所有的页面逻辑。这事我吃过亏——曾经有个客户，后台权限设得固若金汤，结果PDF文件存在静态目录下，链接被搜索引擎收录了，挂了三个月才被他们发现。

处理这类静态文件的正确姿势是：放在web根目录之外，或者用脚本动态读取。比如下载，PHP那边先验证session有没有权限，再用readfile()把文件吐给浏览器。麻烦一点，但安全得多。

再提一嘴IP白名单。如果你有内部管理后台，只允许公司固定IP访问，这是性价比最高的防线。别嫌土，很多大厂的内网系统就是这么干的。你想想，就算密码泄露了，攻击者不在你办公室网络里，照样进不来。当然，如果团队有远程办公需求，配合VPN用就行。

别忘了日志。权限设置得再好，也得看谁在什么时候碰了什么。我就遇到过诡异的案例：一个编辑账号半夜三点在批量下载客户资料，日志一查，密码早被人撞库撞出来了。没有日志，这种事儿你永远发现不了。别觉得记录日志麻烦，几行代码的事，关键时刻能救命。

最后说句实在的——权限设置不是一锤子买卖。新员工入职要开账号，转岗要调权限，离职要立刻销号。很多公司死在“人走了账号还在”上。建议每季度花半天时间，把账号列表拉出来过一遍，该删的删，该降级的降级。这活儿不性感，但省心。

权限这事儿，宁可严一点，也别松一寸。毕竟，你永远不知道哪个链接会被发到哪个群里。