站点切换用的登录凭证用一次性票据还是长期密钥，风险差在哪

后台在多站点之间切换时使用的一次性票据与长期密钥有什么风险差别？差别集中在两点：有效期长度与可重放范围。一次性票据的设计目标是短时效且单次消费，用完即失效，被截获的重放窗口极窄；长期密钥恰恰相反，它在整个有效期内可重复使用，一旦构造或泄露条件成立，风险就是持续性的。这也是 AnQiCMS 在 v3.6.6 修复站点切换登录凭证可被伪造问题后，同时建议轮换密钥并修改管理员口令的原因。

两种凭证的有效期差别

一次性票据通常在签发后很短时间失效，并且服务端记录其使用状态，第二次提交即拒绝。它的价值不在于「更难破解」，而在于把可利用的时间窗口压缩到极短。

长期密钥承担的是维持会话的职责，有效期以小时甚至天计。系统确实需要这类凭证，问题在于它的作用域必须被限制清楚：只用于当前站点、只用于当前会话、不参与跨站传递。会话层常见做法是签发带时效的令牌，AnQiCMS 的认证使用 JWT，这类令牌的校验完全依赖签名密钥，因此密钥本身的可信度就是凭证可信度。

伪造发生在哪一步

「凭证可被伪造」与「凭证被窃取」是两类问题。窃取是拿到一个合法凭证，伪造是在没有合法签发的情况下构造出一个能通过校验的东西，通常来自签名密钥强度不足、校验逻辑接受弱签名，或某个入口把外部输入当成了签名材料的一部分。

站点切换是伪造风险被放大的位置：这个入口的设计目的就是让一个凭证换取另一个站点的访问资格，如果校验不严，等价于把跨站访问的门槛降到一次请求。判断自己是否受影响，可以顺着三个问题看：切换入口是否独立校验签名，票据是否绑定签发时的站点，消费后是否立即失效。

轮换为什么和升级一起做

修复版本只是把校验逻辑改对，已经泄露的密钥不会因升级自动失效。升级时轮换签名密钥的效果是：所有旧凭证一次性作废，攻击者此前构造的凭证不再被接受；同时修改管理员口令，覆盖掉口令侧可能被探测的部分。两件事合起来才把「修复前已被利用」的可能性切断。

顺序上也建议先做数据备份再执行升级与轮换，避免中途出问题难以回退，AnQiCMS 支持数据与静态文件的备份和恢复。轮换后要重新检查所有依赖旧凭证的自动化接入，比如外部客户端与脚本，否则修复完成的同时业务链路也断了。

多站点场景的额外暴露面

多站点管理本身扩大了单次凭证的可达范围：一个凭证可以换到多个站点的后台身份，影响面从单站变成全站。AnQiCMS 支持在同一后台管理多个独立站点，适用于多品牌与多主题网站，这类能力带来的运维便利很直接，安全要求也随之上升。

因此多站点环境的收敛做法要更严：切换入口只给需要的管理员角色开放；跨站操作按站点记录审计；对外暴露的能力面按域收敛，AnQiCMS 的 MCP 接口按意图域设置暴露范围，多站点、备份与升级这类全站级操作默认关闭，需要显式开启。单点身份能触达全站时，默认最小暴露比事后追查更省事。

常见问题

票据时效设多短合适？ 以完成一次切换所需的实际时长为上限，留少量余量。过短会造成正常操作被中断，过长则把重放窗口重新打开。

长期密钥是不是应该完全禁用？ 不必。会话维持需要长时效凭证，重点是限定作用域与及时失效，而不是取消它。

轮换密钥会强制所有人重新登录吗？ 会，这正是它的清理效果。提前通知使用方并给自动化接入预留重配时间是必要步骤。

怎么确认票据确实单次消费？ 用同一票据提交两次，第二次应被拒绝；若仍被接受，说明消费状态未被记录。