服务器子账号配置保姆级教程：再也不怕被删库跑路还背锅

前几天刷到个程序员小哥的吐槽，差点笑喷但又心有余悸。他把公司主服务器的root账号直接给了刚入职的实习生。实习生第一天练手部署小工具，输错了个路径，rm -rf把项目根目录连带数据库备份全清了。小哥熬夜3天补数据，还被扣了半个月绩效。 其实这种事完全可以避免，你只要给不同人开不同权限的子账号就行。别觉得子账号配置是运维大佬的事，普通开发、运营甚至小站长，都能用。今天就用最直白的话，教你在主流的Linux和宝塔面板上，配置出“该干啥干啥、碰不该碰的就弹窗报错”的子账号。 一、先搞懂子账号到底有啥用 别上来就敲代码，先明白这东西能帮你省多少事，踩多少坑。 1. 分锅利器（划重点！） 比如你找外包改网站，给主账号的话，他万一顺手删了你的重要文件，最后你找谁哭？开个子账号，把责任权限划得明明白白，出问题直接查子账号的操作日志就行。 举个例子，上个月有个开淘宝店的朋友找我，说找美工装修店铺关联的小程序后台，给了主账号。结果美工不小心把后台的商品数据接口改了，三天没人下单。后来查不到是谁改的，只能吃哑巴亏。要是开个只能改静态资源的子账号，这事根本不会发生。 2. 安全锁门 主账号就像你家大门钥匙，谁拿到都能进。子账号就是给不同房间配的钥匙：给保洁的只能开客厅厨房，给快递的只能开门口储物柜，给室友的能开卧室但不能开保险箱。 你的服务器里，代码是卧室，数据库备份是保险箱，静态图片视频是客厅。给不同人对应权限的子账号，就算子账号密码泄露了，坏人也碰不到核心东西。 二、Linux系统直接配子账号（适合有基础的人） 如果你用的是阿里云、腾讯云的纯Linux服务器，没装面板，可以用这招。 先说明，我用的是CentOS 7系统，Ubuntu的操作差不多，只有个别命令小改。 1. 第一步：先创建子账号 别记复杂的参数，就用最基础的，够用就行。 打开你的服务器终端（比如Xshell、PuTTY），登录root账号，然后敲这行代码： ``` useradd xiaoming ``` 这里的“xiaoming”就是你要开的子账号名字，随便你改，别用中文就行。 敲完之后，还要给这个子账号设密码，不然登不上： ``` passwd xiaoming ``` 然后会提示你输两次密码，输的时候屏幕不会显示星号或者圆点，别慌，正常输就行，输完按回车。 2. 第二步：给子账号划地盘（权限限制） 刚创建的子账号，默认只能在自己的“家目录”（也就是/home/xiaoming这个文件夹）里活动，别的地方碰不了。但如果你想让他碰特定的文件夹，比如网站的静态资源目录/var/www/html/static，就得给他权限。 把这个文件夹的“组”改成子账号所在的组（默认子账号名字和组名一样）： ``` chown -R root:xiaoming /var/www/html/static ``` 这里的“-R”是递归的意思，就是连这个文件夹里的所有子文件夹和文件一起改。 给这个组加读写权限： ``` chmod -R 775 /var/www/html/static ``` 775是什么意思？别管数字，记住“775就是组里的人能看能写能改，组外的只能看”就行。 避坑提醒：别随便给777权限！777是所有人都能看能写能删，相当于把你家大门打开随便进，非常危险。 三、宝塔面板一键配子账号（适合小白/小站长） 要是你觉得敲代码太麻烦，那就装个宝塔面板，几分钟就能搞定。现在大部分小站长和小型公司的开发，都用这个。 1. 第一步：登录宝塔，找到“用户管理” 登录你的宝塔面板，在左侧菜单栏里，找到“系统”下面的“用户管理”，点进去。 右上角有个“添加用户”的按钮，点一下。 2. 第二步：填好信息，选好权限 弹出来的窗口里，先填基本信息： - 用户名：随便填，别用中文 - 密码：设个复杂点的，别用123456 - 过期时间：如果是临时外包，选个固定日期，到期自动禁用 然后重点来了，选权限！别全选！全选等于给主账号。 举个例子，你找前端开发改网站首页： - 系统权限：只选“登录终端”（如果需要敲点简单命令的话），不选“管理系统”“管理防火墙”这些 - 网站权限：只选你要改的那个网站，别选其他的 - 数据库权限：只选该网站的只读数据库（如果只是改静态页面，数据库权限都不用给） - 文件权限：只选该网站的static和template文件夹 避坑提醒：数据库权限一定要分“只读”和“读写”！如果只是让开发看数据，千万别给读写，更别给删除权限。 3. 第三步：测试子账号，确认没问题 填完点“提交”，然后用刚创建的子账号登录宝塔。试试能不能碰不该碰的文件夹，比如别的网站的根目录，或者系统的/etc文件夹。如果碰不了，说明配置成功了。 四、最后给你个必做的收尾 不管你用Linux还是宝塔，配完子账号之后，一定要做两件事。 第一件事，开启操作日志。 Linux系统可以用“history”命令看，但默认只保留最近1000条，而且可以手动删除。建议装个“auditd”工具，专门记录所有用户的操作，删都删不掉。宝塔面板更简单，在左侧菜单栏“安全”下面的“操作日志”里，开启“子账号日志”就行。 第二件事，定期更换子账号密码。 如果是长期合作的人，建议一个月换一次；如果是临时外包，用完就立刻禁用或者删除子账号。 现在就去你的服务器上试试吧，别等出事了再后悔。哪怕只有你自己一个人用，也可以开个普通子账号日常操作，主账号只用来做系统升级这种大事。这样就算你自己输错命令，也不会把整个服务器搞崩。