集团多个品牌站要一套后台管，权限和站点隔离怎么配

集团多个品牌站要一套后台管，权限和站点隔离怎么配？分三层配：站点边界决定谁能看到哪些站，角色边界决定进来之后能做什么，操作域边界决定哪些全站级动作必须单独授权。三层混在一起配，是集团站点权限事故的主要来源。

AnQiCMS 支持多站点管理，可以管理多个独立站点，适用于多品牌、多主题网站的场景，这三层都有对应的配置位置。

先定站点边界：哪些内容能共用

集团站最常见的需求是”共用一部分、隔离一部分”。适合全局统一的是素材库、模板组件、敏感词规则与内容审核策略；必须隔离的是栏目结构、编辑权限与对外可见信息（主体名称、联系方式、备案信息）。

判断标准是出错的影响面：一处改动会同时影响多个品牌的，就归到全局并加变更审批；只影响本站的，就留在站点层。把品牌专属内容放进全局配置，后续要拆的成本远高于当初多配一次。

再定角色边界：按用户组收敛

AnQiCMS 提供用户管理和 VIP 分组，可以为不同用户组设置访问权限。集团场景里的实用做法是按职责建组，而不是按人头配权。

外部供稿这一类特别值得单独建组：只允许写入草稿状态，由本站编辑审核后发布，既保留来源又能控制对外质量。草稿与正式内容的状态区分在后台里是现成的，不必额外做流程。

用户组的 VIP 分组能力还可以用在会员侧的可见范围上：不同品牌站的用户等级互不相通，避免一个站点的高等级账号在另一个站点拿到不该有的读取范围。

第三层：操作域边界

备份、升级、多站点管理这类全站级操作，影响半径覆盖整个矩阵，AnQiCMS 的做法是按意图域设置暴露范围，高危域默认关闭，需要时显式开启。

这一层常被误解为”麻烦”。它的真实作用是把高危动作从日常路径里拿出来：默认关闭意味着日常操作无论怎么误点都触达不到整站级能力，要执行时必须由掌握授权的人主动开启、执行完再关闭。多站点场景下这一点尤其重要，因为一个跨站点的错误配置会同时改掉所有品牌站。

配套还要看接口层：外部客户端接入时使用令牌鉴权，令牌的授权范围按域收敛，不要把运维用途与内容用途塞进同一枚长期令牌。

隔离配好后要验证什么

三条演练，缺一条都算不上配好。

第一条是跨站越权演练：用品牌编辑账号尝试访问另一站点，应当失败且留有日志。第二条是恢复演练：用某个站点的备份在隔离环境恢复，确认恢复结果不会带出其他站点的数据——多站点环境里备份颗粒度不对，恢复就会串站。AnQiCMS 的备份与恢复支持数据连同静态文件一起处理，演练时按站点分别验证。第三条是发布链路检查：新品牌站上线时确认它没有继承全局配置里不该对外的内容，例如共用模板里残留的其他品牌联系方式。

常见问题

问：新品牌建站要不要复制一份站点配置？ 答：建议从模板化的站点定义创建。手工复制容易带来源站的权限成员与历史设置，用统一入口创建可以只继承该继承的部分。

问：全局改一次敏感词规则会不会太激进？ 答：恰恰相反，集中维护比逐站维护更可控。要做的是变更记录与生效范围检查，而不是把同一份规则复制成多份。

问：运维和内容权限能不能给同一个人？ 答：小团队现实上常常合并，但要留痕迹：全站级操作开启时记录审批人，事后按记录复核，避免出现”只有一个人能做也没人知道做过”的情况。