关于部署于云服务器上博客后台的登录密码

[EscYezi]

最近在撸一个个人博客，后台管理想类似 WordPress 那种部署到服务器上用密码登录。
关于这个密码我是这么打算的：
登录后台，数据库中不存在有效密码时，无论输入什么密码都返回密码错误。
正确的密码需要 ssh 到服务器后台，执行一个脚本生成有效期 30s 的密码，写入数据库，在该密码有效期内输入才能成功登录后台。后台登录时从数据库中查询。退出时清空密码。
在不知道密码的情况下，似乎只有两种办法登录后台：
1.在我执行该脚本后的 30s 内猜对密码
2.拿到服务器登录权限
看起来还挺安全的。
V 友们感觉这个想法可行否？或者有没有什么更好的建议🤔

[alvin666]

不嫌麻烦吗
闲得肝疼...

[EscYezi]

@alvin666 为了安全啊🌚毕竟管理后台都放服务器上了，被人破了密码还不是想怎么改怎么改🌚

[icekingcy]

那就不要把后台放到服务器上，前后台分开，前台数据库账户只读权限，本地搭建后台远程数据库且每次远程连数据库给定个 IP 且密码尽量复杂 数据库改端口

[d3vil]

搞个短信验证码登录不就得了

[ra1983]

难道不是应该用 2-step verification 么

[GDC]

@EscYezi 都登上服务器了为啥不改数据库… 反正你的 30s 脚本也得操作数据库吧…

[LU35]

小偷并不是只从正门进你家。

[ladypxy]

想安全就开两步认证，而不是搞这么蛋疼的步骤

[saucerman]

没必要，这种措施只能阻止登录后台，实际上设置一个比较复杂的密码就可以抵抗爆破了，搞这么复杂作用不大

[SunnyLyx]

目前我的策略是，从 cdn/nginx 中设置只允许代理的 IP 访问后台。
把正门和侧门都封了(但是不知道能不能爬窗进来...)

[yingfengi]

我的密码我自己都不知道，随机生成的，浏览器记住密码。

[Showfom]

你是藏了什么宝藏在你服务器上么= =

[5CanTell]

可以，但没必要

[jookr]

你的想法我懂
如果你懂 php 可以用个自定义 user-agent 的浏览器插件自定义字符串（我用的叫魔变），然后在网站后台代码里判断如果没有这个字符串就报错。

```
if (!stripos($_SERVER['HTTP_USER_AGENT'], '你的字符串')) {
abort(404, '页面不存在');
}
```

[stzz]

花里胡哨

[liuxey]

思想很发散，让我想到了日本网友的各种无聊发明，在 web 安全认证方面已经有很好的方案而且安全等级明显是够的，如果 ssh 都被人拿了，神仙也救不了

[FreeEx]

你服务器上有金子？而且脚本小子攻击网站也不是这样玩的，除非你登陆没验证码。

[yzkcy]

可以，但是没必要。

[EscYezi]

@LU35 那侧门是？

[wwhc]

单就密码而言，密码长度超过 20 个字节，再加上 Fail2ban，还是担心一下代码的漏洞吧