后台登录页面通常藏在网站域名的何登后面，加上几个特定路径。陆网比如 yourdomain.com/admin、站后/login、何登/wp-admin 或者 /manager。陆网这不是站后猜谜游戏，但有时候确实像。何登我见过一个客户把后台入口设成 /secret-door-2023，陆网结果自己都忘了，站后最后从数据库里翻出来的何登。

直接访问这些路径，陆网浏览器会给你一个表单。站后两个框，何登一个填用户名，陆网一个填密码。站后别小看这两个框，它们背后可能是PHP会话、JWT令牌、或者一套老掉牙的Cookie验证。你输入的东西会被送到服务器，跟数据库里的哈希值做比对。对了，现在很少明文存密码了，基本都是bcrypt或者argon2。如果你在数据库里看到一列像乱码的字符串，别慌，那是正常的。

密码忘了怎么办？点“忘记密码”链接。系统会往你注册的邮箱发一封重置邮件。这里有个坑：有些网站的发件服务配错了，邮件直接进垃圾箱，甚至根本发不出去。我碰到过用Sendmail但没配SPF记录的，邮件全被Gmail拒收。这时候你得直接进服务器，用命令行改密码。比如WordPress，wp user update admin --user_pass=新密码一行搞定。没装WP-CLI？那就进MySQL，UPDATE wp_users SET user_pass = MD5('新密码') WHERE user_login = 'admin';——但注意，新版WordPress早就不用MD5了，你得用wp_hash_password()函数生成。

两步验证越来越常见。短信验证码、TOTP应用、甚至硬件密钥。如果你丢了验证设备，很多平台会给你一组恢复代码。那串代码最好打印出来锁抽屉里，别只存手机备忘录。手机丢了，备忘录也没了。我见过有人把恢复代码截图放相册，结果手机被偷，相册没加密，后台直接被人登进去改了首页。

有时候你明明密码对，就是登不进去。先看浏览器控制台有没有报错。403 Forbidden可能是IP被防火墙拦了，500是服务器端脚本崩了。还有一种情况：登录表单的action地址指向了错误的URL，比如缺了www或者多了个斜杠。这种问题在迁移服务器后特别常见。检查一下wp-config.php或者.env文件里的WP_HOME和WP_SITEURL，两个必须一致。

如果你不是管理员，只是普通编辑，后台入口可能不一样。有些CMS会给不同角色分配不同路径。比如Drupal，/user/login是通用入口，但/admin只有管理员能进。你登进去看不到管理菜单，别急着骂人，先看自己角色权限。

安全方面，别用admin当用户名。这是常识，但总有人犯。登录页面加个验证码，能挡掉大部分暴力破解脚本。更狠一点，把登录路径改成随机字符串，再用IP白名单限制访问。Cloudflare的Access或者Nginx的allow/deny指令都能干这事。我自己的站点后台只允许公司IP段访问，其他一律返回444——连错误页面都不给。

最后说个真事。有个朋友接手了一个老站，后台密码在交接文档里写着，但登录一直提示错误。折腾半小时后发现，键盘上Caps Lock灯亮着，文档里写的是小写密码。他输进去的其实是大写。这种蠢事谁都可能碰上。先试试手动输入，别复制粘贴，有时候复制会带空格。