织梦如何禁止后台外网访问

织梦后台是站点最高权限入口，但默认对所有公网 IP 开放，攻击者可任意扫描爆破。把后台限定为仅内网或固定 IP 可访问，是阻断爆破、漏洞利用、撞库攻击的最有效手段之一。下面介绍几种主流方案，可按服务器环境组合使用。

一、为什么必须限制后台访问

• 织梦后台路径默认 /dede/，攻击者无需探测即可访问；
• 管理员密码弱口令普遍存在，爆破成功率不低；
• 后台存在历史越权漏洞，未限制访问时漏洞即被远程利用；
• "数据库备份还原""文件管理"等高危功能一旦被进入，等同于服务器被接管。

二、方案 A：Nginx IP 白名单

最直接的方式，仅允许指定 IP 访问后台目录：

# 假设后台已改名为 /manage_x7k9/
location ^~ /manage_x7k9/ {
    allow 1.2.3.4;          # 公司办公出口 IP
    allow 10.0.0.0/8;       # 内网网段
    allow 127.0.0.1;
    deny  all;
    
    # 正常转发到 PHP
    try_files $uri $uri/ /index.php?$query_string;
    location ~ \.php$ {
        fastcgi_pass unix:/tmp/php-fpm.sock;
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }
}

修改后 nginx -t 校验，nginx -s reload 生效。

三、方案 B：Apache IP 限制

<Directory "/var/www/html/manage_x7k9">
    Order deny,allow
    Deny from all
    Allow from 1.2.3.4
    Allow from 10.0.0.0/8
</Directory>

或使用 .htaccess 放在后台目录内：

Order deny,allow
Deny from all
Allow from 1.2.3.4

四、方案 C：HTTP Basic Auth 二次认证

IP 不固定时（如出差、家庭办公），可加一层 Basic Auth：

# 生成密码文件
htpasswd -c /etc/nginx/.htpasswd admin

# nginx 配置
location ^~ /manage_x7k9/ {
    auth_basic "DedeCMS Admin";
    auth_basic_user_file /etc/nginx/.htpasswd;
    # ... PHP 转发配置
}

访问后台需先输入 Basic Auth 账号密码，再进入织梦登录页，相当于双因子认证。

五、方案 D：改后台端口

把后台绑定到非标准端口（如 8443），不对外公开：

server {
    listen 8443 ssl;
    server_name admin.example.com;
    root /www/wwwroot/dede;
    # 仅放行后台相关 location
}

配合 DNS 解析，仅内网解析 admin.example.com，公网无法访问。

六、方案 E：通过 VPN 接入

最严格的方案：后台目录仅监听内网网卡，运维人员通过 VPN 接入内网后访问：

• 部署 OpenVPN / WireGuard，仅允许公司员工证书登录；
• nginx 后台 location 仅 allow 10.0.0.0/8；
• SSH 与数据库也仅内网可访问，形成完整隔离。

七、配合的后台加固

1. 后台路径改名

cd /www/wwwroot/dede
mv dede manage_x7k9mq2p
# 修改 /include/common.inc.php 中相关常量
# 后台 → 系统 → 系统基本参数 → 后台目录名

2. 登录失败锁定

修改 /dede/login.php，加入失败次数统计：

session_start();
if(!isset($_SESSION['fail_count'])) $_SESSION['fail_count']=0;
if($_SESSION['fail_count'] >=5){
    exit('登录失败次数过多，请 30 分钟后再试');
}
// 登录失败时
$_SESSION['fail_count']++;
// 登录成功时
unset($_SESSION['fail_count']);

3. 关闭注册与会员中心

若站点不需要会员功能，后台 → 系统 → 会员设置 → 关闭注册，并删除 /member/ 目录。

八、验证拦截效果

1. 用非白名单 IP（如手机 4G）访问 /manage_x7k9/，应返回 403；
2. 用白名单 IP 访问，应正常进入登录页；
3. 查看 nginx access.log，确认外网访问被 deny；
4. 定期检查 nginx error.log 中的拦截记录，关注是否有持续爆破。

九、注意事项

• CDN 必须配置回源 IP，否则 nginx 看到的全是 CDN 节点 IP，白名单失效；
• Basic Auth 密码不要与织梦后台密码相同；
• 办公出口 IP 变化时及时更新白名单，避免正常运维被拒；
• 限制后台访问后，定时任务（如生成静态）需在内网执行。