很多企业做了两件事就认为后台安全了：把admin改成别的路径，把端口从默认改掉。这两件事有点用，但挡不住认真的人。扫描器会爬页面，改路径只是提高了一点门槛。这一步能不能省？交接材料要哪些？笔者陪客户开过一次内部会，才明白卡在谁那儿。
真实的风险在访问控制
最大的问题是后台直接暴露在公网，任何人只要能访问到登录页，就可以慢慢试密码。先小步试。合理的做法是限制来源：只允许公司固定IP访问，或者必须走VPN。这一条能挡掉绝大部分攻击。如果做不到限制IP，至少加一层二次验证。
短信验证码、动态令牌和邮箱验证任选其一。加这一层之后，就算密码泄露，攻击者也进不来。成本不高，收益很大。第一层是失败锁定：同一账号连续失败几次就锁一段时间。第二层是来源限速：同一IP短时间大量尝试就拒绝。
登录防护要分几层
第三层是弱密码检测：注册和改密时拒绝常见弱密码。三层叠起来才有效。验证码要用在关键处。登录失败两次后出验证码，比每次都出体验好，也能挡住自动化脚本。图形验证码不够就看行为验证，具体选哪种看攻击强度。
一个常见误区是内部系统不用管安全。实际上内网横向移动是常见攻击路径，一台机器被攻破，其他系统就跟着沦陷。内部系统至少也要独立账号、权限分级和操作留日志。权限分级尤其重要。
内部系统也别裸奔
客服能看到用户手机号、财务能看到流水跟运营能看到订单，各自范围不同。全都给管理员权限，出事时无法追责，也无法限制损失范围。末尾叮嘱一句：后台安全不是改个路径的事，是把"谁能进、怎么进与进来能干什么"三件事都管住。
后台安全的常见疑问
改后台路径有用吗
只能略微提高门槛。应配合来源 IP 限制、二次验证和登录失败锁定才有效。
二次验证必要吗
对暴露在公网的后台很必要，可在密码泄露时形成第二道防线。
内部系统要做什么防护
独立账号、权限分级跟操作日志，避免全员使用管理员权限。
另外别忘了操作日志本身要防篡改。日志只增不改，最好同步到独立存储。如果攻击者进来后能删日志，那这份日志在事后就帮不上任何忙。
总结：后台安全靠管住三件事：谁能进、怎么进跟进来能干什么。改路径远远不够。