白山搞技术的做安全加固，登录突然进不去咋办

上个月我处理景区票务接口的时候，自己给自己挖了个坑。给后台加了一层验证强度，当天夜里售票的阿姨就打电话，说手机端怎么也登不进去。我蹲在靖宇那边的机房熬到十二点，才反应过来是加固和老的手机浏览器撞了车。回头想想，这类坑其实都出在那几个常见的点上。今天我就把这几个点都给你摆出来，免得你重走我的老路。

加固先别一股脑全往上堆

我那天是手一抖，把验证码、二次校验、新登录框全给顶上去了。售票阿姨那台国产老安卓机，浏览器连新版验证码的标准都没支持，一打开就白屏。加固本来是防贼的，结果把自己人锁在外头了，这不就是自找麻烦吗。这事提醒我，上线前先搭个小环境，模拟一趟老设备再动手，省得上线当晚才露馅，白白熬一个通宵。

防攻击别忘了给真客人留条路

后来又加了一层地址拦截规则，本想挡境外攻击，结果把长白山预演买票的真游客一起挡了，白挡了好几百单，售票处气得直跳脚。原因是机房共享出口那段地址被误判成了恶意。把规则改成白名单放行，再留个人工出口通道，线上才恢复正常。安全这东西，做太死反而成了另一种脆，得讲究个分寸。

兼容就靠这几样本事先试

我把那台旧手机专门腾出来当测试机，每次改完先在上面走一遍，再谈放上线。顺手还做了一套浏览器降级方案，老机器走轻量的基础页面。老李那台测试用的旧平板也跟着受益。这套土办法，养了几家站都不掉链子。这法子土归土，可对本地搞技术的，你不觉着最实惠吗？

总结

安全加固这事，我吃过教训，你先小范围验证，再逐步放宽，别把真顾客一起挡在门外。你改之前，先把老设备、老浏览器这类的兼容表列出来，心里就有底。真撞上了，把那几行拦截规则的截图发我，我帮你核对白名单，稳稳落地，别一个人闷着头硬扛。

只要先把范围收小，再静下心来验证一圈，多半就稳住阵脚了，不至于又熬一宿。被自己的规则把自己人拦在外头，那种窝囊滋味，你说谁愿意再尝第二回？改了先小范围试一圈，比啥都靠谱，也就多费点功夫的事。你先把这几关走通，往后省心一大截。