船说 CMS 后台 IP 白名单怎么设置

学完这篇，你能给船说 CMS 的后台管理入口加一层 IP 白名单，做到"只有你自己的 IP 能登录后台"，并且知道万一改错把自己关在外面时怎么在几分钟内救回来。

第一步：先记下自己的公网 IP 和后台入口

这一步要拿到两个信息：你的公网 IP、后台的访问地址。没有这两样，后面填什么都白填。

查公网 IP：浏览器打开 https://ip.sb，或在百度搜索框输入"IP"，页面顶部显示的 113.87.22.45 这类地址就是。注意这是家庭宽带的出口 IP，不是你电脑上的 192.168.x.x。

找后台入口：船说 CMS 后台常见地址是 你的域名/admin.php 或 你的域名/admin/，具体取决于安装时后台目录有没有改名。

注意：家庭宽带多数是动态 IP，光猫重启一次 IP 就变了。如果你是动态 IP，白名单建议填运营商网段（如 113.87.22.0/24），否则第二天可能自己都进不去。

第二步：在后台「系统 → 安全设置」里开启白名单

登录后台后，左侧菜单点「系统」→「安全设置」（部分版本叫「系统设置 → 安全配置」，或「管理员」→「登录限制」），找到「后台 IP 白名单」「允许登录 IP」这类输入框，把第一步记下的 IP 填进去，多个 IP 用英文逗号分隔，然后点页面底部的「保存」或「提交」按钮。

如果你在后台翻遍菜单都找不到"IP 白名单"字样，说明你这个版本没做这个开关，白名单大概率存在两个地方：一是配置文件（如 /config/config.php 里的 $cfg_admin_ip 之类变量），二是管理员数据表（用 phpMyAdmin 打开数据库，看 admin 表里有没有 ip、allow_ip 字段）。

注意：保存后不要立刻关掉当前浏览器窗口。先新开一个无痕窗口试着登录一次，确认能进，再关掉旧会话。顺序反了容易把自己锁在外面。

第三步：填对格式，理清优先级

白名单的写法各版本略有差别，常见支持这几种：

• 单个 IP：113.87.22.45
• 网段：113.87.22.0/24（允许 113.87.22.0 到 113.87.22.255 全部）
• 通配符：113.87.22.*
• 多条：用英文逗号分隔，别用中文逗号，也别随手加空格

如果站点同时配了 IP 黑名单，一般黑名单优先级更高——同一个 IP 既在黑名单又在白名单里，结果通常是被拒。

注意：如果站点接了 CDN（Cloudflare、百度云加速、阿里云 CDN 等），服务器拿到的 IP 是 CDN 节点 IP，你填自己的真实 IP 会失效。这时要先去 CDN 后台开启真实 IP 传递（X-Forwarded-For），再确认船说 CMS 版本支持读取真实 IP，否则白名单形同虚设。

第四步：在服务器层再兜一层（推荐）

后台白名单属于应用层，PHP 一旦出问题就失效。用 Nginx 再挡一道更稳。

宝塔面板操作路径：网站 → 点你的站点 → 设置 → 配置文件，在 server { } 里面加上：

location = /admin.php {
    allow 113.87.22.45;
    deny all;
}

如果你后台是 /admin/ 目录，把第一行改成 location /admin/ {。保存后点右上角「重载配置」。

Apache 主机的写法是在网站根目录的 .htaccess 里加：

<Files "admin.php">
    Require ip 113.87.22.45
</Files>

注意：动 Nginx 配置前先备份，宝塔里点「备份」或复制一份 .conf。少写一个分号，整站直接 502。

第五步：验证效果和准备回滚

验证方法：用白名单 IP 开无痕窗口登录后台，应该正常进；再用手机 4G 流量（换一个 IP）访问后台地址，应该返回 403 或提示"IP 不在允许范围"。两种情况都符合预期，就算配好了。

回滚方法：如果两个 IP 都进不去，用 FTP 或宝塔文件管理器删掉 Nginx 里加的那几行 allow/deny 并重载；如果是后台白名单写错，用 phpMyAdmin 直接清空管理员表里对应的 ip 字段，或把配置文件里的开关改回关闭状态。

小结

• 先查公网 IP，再动手，动态 IP 优先填网段
• 后台开关通常在「系统 → 安全设置」，找不到就去配置文件或数据库表里找
• 多条 IP 用英文逗号，黑名单一般优先于白名单
• 套了 CDN 必须处理真实 IP，否则白名单不生效
• 保存后先用无痕窗口验证，再关旧会话；Nginx 改动前先备份
• 应用层 + 服务器层各挡一道，比只配一处安全得多