波仔
🔌 第六章 请求到达Web服务器，响应返回浏览器
📄 一句话概括

Web 服务器自己也能管访问：来源 IP 过滤、密码认证（Basic 等）、文件权限三层——与 5.2 的防火墙互补：防火墙管谁能进门，服务器管进门后能看什么。

📝 本节和前面几节的关系

内容怎么来的讲完了；本篇看【谁有资格看】。

一、三层手段

来源 IP 过滤：只允许/拒绝某些网段来访； 密码认证：账号密码对了才给内容（如 Basic 认证）； 文件权限：操作系统层面规定谁能读哪个文件。

二、与防火墙的分工

5.2 的防火墙按包的头管【谁能进门】； 这里的控制按请求内容管【进门后能看什么】—— 两层叠加，纵深防御。

三、动手 Demo：访问控制三道关

Web 服务器自己也能做访问控制：

for a, b in [('来源 IP 过滤','允许/拒绝某些网段来访'),
             ('密码认证','账号密码对了才给内容'),
             ('文件权限','OS 层面规定谁能读')]:
    print('%-12s %s' % (a, b))

实跑输出：

--------------------------------------------------------------------
访问控制三道关
--------------------------------------------------------------------
  Web 服务器自己也能做访问控制：

  手段             判断依据
  ---------------------------------------
  来源 IP 过滤     允许/拒绝某些网段来访
  密码认证         账号密码对了才给内容
  文件权限         OS 层面规定谁能读
  ---------------------------------------

  与 5.2 的防火墙互补：防火墙管【谁能进门】，
  服务器自己管【进门后能看什么】。

⭐ 2026 现状：Basic 认证明文传密码， 必须配 HTTPS 用——裸 HTTP 下等于把密码广播出去。

30 秒实验

  1. 给一个后台路径设计两层访问控制。
  2. 查查 Basic 认证的请求头长什么样。
  3. 说说三层手段各挡住什么人。

常见误区

  1. 以为有了防火墙就不用访问控制——两层管的事不同。
  2. 以为 Basic 认证很安全——明文传输，要配 HTTPS。
自测三问（点开对答案） 1. Web 服务器的三种控制手段？ —— IP 过滤、密码认证、文件权限。 2. 与防火墙怎么分工？ —— 防火墙管进门，服务器管能看什么。 3. Basic 认证的隐患？ —— 明文传密码，须配 HTTPS。

相关笔记