有位客户的后台地址是域名斜杠 admin，我随手一打开就是登录页。问他知不知道自己每天被扫多少次，他说不知道。日志拉出来一看，一天两万多次登录尝试，来自几十个国家的IP，只是暂时没撞开而已。
改路径只是心理安慰
把 admin 改成别的一串字母，能减少被扫到的概率，但扫描器会顺着页面里的链接和目录爬，藏不了多久。真正管用的是不给公网访问的机会：后台只允许公司固定IP访问，出差或者在家办公的走 VPN，这一条一设，绝大多数扫描直接失效。
双因素认证该开就开
密码再复杂也可能泄露，钓鱼页面、木马、员工复用密码，渠道太多了。双因素认证是密码之外再加一道，短信、验证器、硬件密钥都行。开了之后，即使密码被拿到，攻击者也进不来。这个功能很多系统都有，只是没人去开，可惜。
登录失败要锁定
撞库靠的就是无限次尝试，同一账号连续错五次锁定十五分钟，成本立刻上去。同时记录失败日志，同一IP短时间内大量失败直接封禁。这两条规则设好，撞库基本就废了，配置起来也不复杂，很多框架自带。
还有一层是权限。运营、财务、客服各管一块，别所有人都用超级管理员。真出了事，至少能通过日志定位到是谁的账号。太原不少企业的后台是外包做的，交付时只给一个管理员账号，后续人员变动就乱了，这个坑要在验收时就填上。
我的建议是把这几条写成一张部署清单，交付时逐项打勾：IP白名单、双因素、失败锁定、权限分层、操作日志。看起来是小事，但每一条都能挡掉一类很常见的攻击，成本几乎为零，只是需要有人记得做。
后台防护的常见疑问
员工在家办公怎么办
走 VPN 拨回公司内网再访问后台，或者给临时IP开白名单，用完就撤，别长期放开。
双因素会不会太麻烦
可以只对管理员和高权限账号强制开启，日常操作员用密码加设备绑定即可。
日志要存多久
建议至少六个月，涉及资金和个人信息的业务留一年更稳妥，存到独立的日志服务器上。
总结：后台是公司最值钱的一扇门，却常常开在大马路上。白名单、双因素、失败锁定、权限分层，四件事做完，被撞开的风险就降到底了。