Zblog用户权限设置实操攻略 规避越权风险省心又安全

为啥你得把权限设置当回事？

很多刚玩Zblog的小白觉得权限这东西可有可无，反正站点没多少人用，之前我见过一个哥们给合作的供稿人开了管理员权限，结果那人误操作把主题配置全改了，折腾了半天才恢复。还有人没关游客的投稿权限，后台堆满了垃圾广告，删都删不完。这事儿吧，真不是小题大做，权限就像你家的门锁，保洁给大门钥匙，快递员只给开快递柜的权限，乱给钥匙不出事才怪。

Zblog默认用户组权限怎么改？

Zblog自带的用户组分好几种：管理员、编辑、作者、投稿者、游客，你进后台之后点左侧菜单的“用户管理”→“用户组管理”，就能看到每个组对应的权限开关。哦对，别瞎改管理员组的权限，改之前最好先导出站点备份，免得把自己锁在后台外面哭都没地方哭。

常用用户组权限配置参考

• 编辑组：只开文章管理、分类管理权限，别给主题、插件、系统设置的权限，免得手滑改崩站点，到时候锅还得你背。
• 作者/投稿者组：只开文章投稿、编辑自己稿件的权限，发布权限可以关掉，所有稿件得你审核之后再上线，完全不用担心乱发广告或者违规内容。
• 游客组：直接把所有后台权限全关，只保留前台评论权限就行，要是你站点不开投稿功能，连投稿权限都给关掉，从根源上堵死垃圾信息入口。

自定义用户组怎么搞？

要是默认的用户组不够用，比如你要给合作的运营单独开个权限，只能看数据不能改内容，就可以自己新建用户组。操作也简单，点用户组管理右上角的“新建用户组”，填好组名之后，挨个勾选你要开放的权限就行。哦对，设置完之后记得找个小号测下，别你以为只开了数据权限，结果能删文章，那麻烦就大了。

这些高频踩坑点别再踩了

很多人设置完权限就不管了，其实还有几个容易漏的点。比如你装了第三方插件之后，插件自带的权限不会自动同步到之前设置的用户组里，得你手动去用户组里重新勾选对应插件的权限。之前我就踩过这个坑，给编辑开了所有文章权限，结果装了个批量导出插件，编辑居然能导出全站用户信息，吓我一身冷汗。还有，别随便给陌生人开管理员权限，哪怕是帮你调试问题的，调试完立刻改密码或者删掉对方的账号，站点安全真的别侥幸。

要是你需要更精细化的权限控制，比如禁止编辑组访问后台首页，可以在主题的function.php里加这段代码：

``` // 禁止编辑组访问后台首页 Add_Filter('Admin_Index_View', function(){ global $zbp; if($zbp->user->Level == 2){ Redirect('admin.php?act=ArticleMng'); } }); ```

这段代码的意思就是编辑组进后台直接跳转到文章管理页，看不到首页的系统信息，安全系数直接拉满。

说真的，权限设置花不了10分钟，真要是出了问题，你恢复数据就得好几个小时，别嫌麻烦，现在去后台捋一遍权限，真的能省好多后续的糟心事。