配置与使用：安全加固建议（HTTPS/IP 白名单/强密码）

上线前建议清单

• 开启 HTTPS（强制跳转）
• 修改后台路径（见《后台访问路径修改》）
• 开启验证码（见《验证码开启》）
• 管理员强密码 + 定期更换
• 限制后台访问来源（IP 白名单/VPN/堡垒机）

1. HTTPS

建议在 Nginx/面板申请证书并开启 HTTPS，然后将 HTTP 301 跳转到 HTTPS。

2. 后台 IP 白名单（Nginx 示例）

如果你把后台路径改成了 /your-admin，可以为该路径做访问控制：

location ^~ /your-admin {
  allow 1.2.3.4;
  allow 5.6.7.8;
  deny all;
  proxy_pass http://127.0.0.1:8000;
}

说明：不同反代配置可能需要补齐 header 转发。

3. 日志与审计

• 开启访问日志与错误日志
• 关注登录失败、频繁提交等异常行为

4. 备份与回滚

升级前务必备份数据库与 uploads，详见“运维与实践”栏目。