首選的方式來管理的網站/調用某些功能

Question

可能重複：
What are best practices for securing the admin section of a website?

我想知道，如果只有這樣，才能做到在您的網站管理員的瑣事，像禁止用戶，刪除帖子和調用其他管理員功能，是做一個管理部分。唯一阻止用戶登錄的是密碼。 是不是有其他的選擇，就像用戶不可見的頁面一樣？

Answer 1

如果網站需要登錄常規活動和管理員，例如一個論壇，我會使用單獨登錄它們使用相同的用戶數據庫。這確保了XSRF和會話竊取不會允許攻擊者訪問管理區域。

此外，如果管理部分是在一個單獨的子目錄，確保一個與網絡服務器的認證（在如Apache的.htaccess）可能是一個好主意 - 然後有人需要都該密碼和用戶密碼。

掩蓋管理路徑幾乎不會產生任何安全性收益 - 如果有人知道有效的登錄數據，他很可能也能夠找到管理工具的路徑，因爲他既可以通過它進行釣魚或鍵盤記錄，也可以通過社交工程獲得也可能會顯示出路徑）。但即使沒有模糊的路徑，你也不需要鏈接到它;只需手動輸入以訪問管理區域。

蠻力保護措施，例如3次登錄失敗後阻止用戶的IP，或者在登錄失敗後不需要第一次登錄（因爲這對於合法用戶來說非常煩人）也可能有用。

---

但所有的一切，除非你的網站包含敏感信息等，一個安全的密碼，沒有安全漏洞應該是在大多數情況下足夠了。