咱做内容运营、小老板搞自建站、甚至是技术小白攒个云盘存私房素材的朋友，都要懂点服务器权限管控！别以为这是程序员大佬专属的“天书密码锁”操作，真踩过坑的人告诉你——不懂服务器权限管控，你那服务器就是楼下菜市场随便扒拉的“便民菜篮子无锁公共储物柜升级版”！存的啥宝贝都可能被顺走，菜筐子（服务器本身）还可能被人塞一堆烂菜叶（恶意代码挖矿病毒啥的）占满，最后连自己的菜都装不下还得赔物业（云服务商）清理费！
先唠唠我为啥对服务器权限管控魔怔到魔性重复的程度
以前刚入行搞垂直宠物站的时候，穷得叮当响，买了个最便宜的入门级云服务器，选配置的时候抠搜，装系统运维软件的时候更懒——除了自己用的超级管理员账号（相当于无锁公共储物柜的万能钥匙管理员+配钥匙大爷一体身），把其他几个兼职写稿、发图的小姐妹的账号也全设成了超级管理员，甚至连后台上传图片的插件权限都直接拉满到“想改啥改啥想删啥删啥”！
那时候还自我感觉良好呢：“姐妹们都是自己人，设那么复杂干啥，耽误发稿影响流量就是耽误赚狗粮钱！”结果呢？第三个月的某天凌晨三点，我睡得正香抱着猫主子啃，手机突然炸锅了，云服务商发了十几条短信警告：“您的服务器存在异常流量，疑似被植入DDoS肉鸡程序！已暂停外网访问！请立即排查！”
爬起来抱着电脑一顿操作猛如虎，发现兼职的小A图省事，为了下一个免费的猫咪表情包素材包，在浏览器里随便点了个弹窗链接，那链接里的木马顺着她的万能钥匙权限，直接钻进了我的服务器核心——不仅把宠物站的首页改成了“猫咪减肥法无效全靠饿三天三夜”的垃圾广告，还在后台装了十几个挖矿病毒！那一天我哭丧着脸找兼职运维的同学救场，光清理病毒恢复数据花了八百块钱，云服务商的流量超额警告费又罚了五百，那段时间的猫粮钱都差点给搭进去！同学临走前拍着我的肩膀语重心长（其实是幸灾乐祸翻着白眼）说：“大姐，咱能不能稍微花十分钟学一下服务器权限管控？就十分钟！别再当散财童子了行不？”
听懂人话的服务器权限管控教程来了！土味原理+简单操作，包教包会包省猫粮钱
同学说的“十分钟”有点夸张，但如果只学基础入门级服务器权限管控，真的差不多！而且为了让小白也能秒懂，我把所有专业术语都换成了土味魔性公共储物柜梗！
第一招：扔掉你的万能钥匙！只给配钥匙大爷留一把——严格限制root/Administrator账号使用
不管你用的是Linux系统还是Windows系统，root（Linux的超级管理员）和Administrator（Windows的超级管理员）就是那把能开所有柜门、甚至能拆整个无锁公共储物柜的终极锁王钥匙！这把钥匙你平时没事千万别掏出来，揣兜里藏枕头底下都行！日常操作（传图发文建文件夹）就用普通钥匙开普通柜门就行！
怎么操作呢？咱拿小白用得最多的宝塔面板举例哈（如果没用过宝塔的朋友赶紧去装一个，真的是小白救星！不用敲代码也能搞懂）：
- 打开宝塔面板，找到「软件商店」，搜一下「SSH终端」（如果是自带SSH的云服务器直接登也行）；
- Linux系统敲个简单的命令就行：
```
useradd xiaomao (这里的xiaomao可以换成你自己喜欢的名字，比如xiaogou、caijiao都ok)
passwd xiaomao (设置这个账号的密码，别太简单！建议是拼音+数字+符号的组合，比如Caijiao123!)
usermod -aG wheel xiaomao (CentOS系统用这个，把xiaomao变成能偶尔用用小权限管理员的“配钥匙助理”；Ubuntu系统用usermod -aG sudo xiaomao)
```
- 设置完之后，直接在「宝塔面板-安全」里把root登录SSH的权限关掉！这样别人就算知道了你的旧root密码，也登不上你的服务器啦！
土味正能量强行混搭：“锁王钥匙别外露，普通钥匙日常用，服务器安全放心中，事业爱情财运一路红！”
第二招：给每道菜篮子贴标签！谁的菜谁放谁拿——合理划分用户组和文件夹权限
刚才说的普通钥匙是给每个人一把，但还不够细！比如兼职写稿的小A只能放只能拿“投稿文件夹”，兼职做图的小B只能放只能拿“图片素材文件夹”，兼职运营的小C只能放只能拿“活动策划文件夹”，核心数据文件夹（比如会员信息、财务数据）只能你自己用终极锁王钥匙偶尔开！这就是合理的服务器权限管控里的用户组和文件夹权限设置！
还是拿小白救星宝塔面板举例哈，敲简单：
- 先在「宝塔面板-用户」里创建不同的用户组，比如「xiezugroup」（写稿组）、「zuotugroup」（作图组）、「yunyinggroup」（运营组）；
- 然后把刚才创建的普通用户（比如xiaomao是写稿的）拉进对应的用户组里；
- 接下来是最关键的文件夹权限设置！找到你网站根目录下的各个文件夹，右键点击「权限」，然后按照以下规则来改：
- 普通只读文件夹（比如网站首页模板，不能随便改的）：权限设为755（啥意思？你是锁王能读能写能删，用户组和路人只能读不能写不能删！用公共储物柜梗解释就是：你的钥匙能开能放能拿，配钥匙助理和路人只能扒门缝看一眼！）；
- 普通读写文件夹（比如投稿文件夹、图片素材文件夹）：权限设为775（你是锁王能读能写能删，对应组的配钥匙助理能读能写能删，路人只能扒门缝看！）；
- 核心机密文件夹（比如会员信息、财务数据）：权限设为700（只有你自己的终极锁王钥匙能开！配钥匙助理和路人连扒门缝的资格都没有！）；
- 记住！别随便把任何文件夹权限设为777！777就是真正的“无锁公共储物柜”！谁都能开谁都能放谁都能拿！就算你给菜篮子贴了标签也没用！
土味正能量强行混搭：“菜篮子贴标签，谁的菜谁管牢，服务器权限管控好，隐私安全没烦恼！”
第三招：定期给锁芯换钥匙！给储物柜安个监控——加强密码管理和日志审计
就算你锁王钥匙藏得再好，普通钥匙和配钥匙助理的钥匙也别用太久！定期换锁芯定期换钥匙！还有，给储物柜安个24小时不间断的监控，谁开过哪个柜门谁碰过哪个菜篮子都要记下来！这也是基础入门级服务器权限管控里必不可少的一步！
还是小白救星宝塔面板的操作：
- 定期换密码！不管是root/Administrator账号，还是普通用户账号，密码建议每个月换一次！换的时候别太懒，还是拼音+数字+符号的组合！
- 安监控！打开「宝塔面板-安全」，找到「系统审计」或者「SSH日志」，每天花个一两分钟扫一眼就行！如果发现有陌生IP地址登录过你的服务器，赶紧把那个陌生IP拉黑，然后把所有密码全换掉！
- 如果还嫌不够安全，可以给SSH登录加个「密钥登录」！相当于给储物柜加了个指纹锁！只有你自己的指纹（电脑里的私钥文件）才能打开！就算别人知道了你的密码也没用！
土味正能量强行混搭：“定期换锁换钥匙，24小时监控不松懈，服务器权限管控做到位，半夜睡觉抱着猫主子也能笑醒好几回！”
最后再魔性重复三遍：服务器权限管控！服务器权限管控！服务器权限管控！
真的，别再嫌麻烦别再犯懒了！我踩过的那个坑，八百块钱清理费五百块钱流量超额警告费，到现在想想都心疼得慌！如果我当时花个十几分钟学一下基础入门级服务器权限管控，根本不会有这种事！
希望今天这篇用土味魔性公共储物柜梗串起来的文章，能帮到那些和以前的我一样穷得叮当响又犯懒的朋友！不管你是搞内容运营的，还是小老板搞自建站的，甚至是技术小白攒个云盘存私房素材的，都要懂点服务器权限管控！服务器安全放心中，事业爱情财运一路红！加油！打工人！加油！创业者！加油！所有想保护好自己宝贝的人！
