一个运营了三年的网站电商后台，某天凌晨突然被撞库攻击。权限黑客用泄露的管理密码池试出了财务主管的账号——这位主管为了省事，把后台密码设成了和论坛一样的网站。系统拦截了前两次异地登录，权限第三次从同一个IP进来时，管理安全策略居然放行了。网站等早上技术团队发现异常，权限数据库里两万条客户隐私已经被打包拖走。管理

事后复盘时发现，网站真正的权限问题不是密码太弱，而是管理权限分配像撒胡椒面。整个后台所有人都有全部模块的网站读写权限。运营专员能改商品价格，权限客服能看订单详情，管理连实习生都能导出用户手机号。攻击者拿到财务账号后，通行无阻地翻遍了所有数据。

权限管理的本质是“最小够用”。但现实中很多公司把账号权限当成一种福利——给员工开权限像发红包，谁要就给，从不考虑职责边界。我见过一家创业公司，产品经理为了看用户反馈，申请了数据库只读权限。后来他离职了，账号没注销，三个月后有人用这个闲置账号登录，把产品表删了。不是恶意，就是手滑。

好的权限体系应该像电梯刷卡——你只能按亮自己楼层对应的按钮。行政去不了机房，开发改不了财务表。听起来简单，执行起来却总走样。有些系统权限粒度太粗，要么只能全给，要么全不给。想给客服开个“仅查看订单”的权限，后台设置里压根没这个选项。

我见过一个比较极端的做法。某银行核心系统，每个操作都要二次授权，连查个余额都要主管的加密狗插一下。效率低到令人发指，但安全评级确实高。后来他们优化成“分级审批”——小额查询自动放行，大额转账必须双人复核。权限管理不是一锤子买卖，得跟着业务风险动态调。

还有个细节容易被忽略：权限的回收比发放更重要。员工调岗、离职、休假，对应的权限应该立即变更。但很多公司只做加法不做减法，导致权限越积越多。有个朋友的公司做过一次审计，发现一个已经离职两年的前员工账号还在定时跑批任务，用的还是他当年设置的定时脚本。

技术手段能解决一部分问题。比如用统一身份认证，对接HR系统，离职自动冻结账号。再比如定期做权限复核，让每个部门主管确认手下人的权限是否还合适。但这些都依赖管理层的重视程度。说到底，权限管理是对人的不信任机制——它假设每个账号都可能被滥用或盗用，然后通过技术手段把风险锁在笼子里。

那次电商后台被拖库后，他们重新梳理了权限矩阵，把客服、运营、财务的权限彻底分开。又加了异地登录二次验证，高风险操作强制手机确认。半年后，安全团队做渗透测试，模拟攻击者拿到普通员工账号，结果只能看到自己负责的那小块数据，连用户列表都打不开。这次测试报告里写了句：“攻击成本大于收益，攻击者会转向其他目标。”

权限管理不性感，甚至有点烦人——每次申请都要填理由、等审批。但想想那个凌晨被拖走的数据库，这点麻烦真不算什么。