1.管理后台必须与业务系统分离，单独部署。
2.通过政策或规则加强密码复杂度（比如：要求使用字母、数字和特殊符号）和密码长度（常用的是至少8个字符长度）。
3.身份验证的失败提示信息应当避免过于明确。比如：可以使用“用户名或密码错误”，而不要使用“用户名错误”或者“密码错误”。
4.管理后台需要部署在内网并接入AD，禁止外网访问。
5.如有业务需要部署外网，请使用双因素认证登录，比如“账号+密码+短信验证码“或者“账号+密码+动态令牌“或者“账号+密码+邮箱验证码“。
6.管理后台需要保留日志记录，日志支持记录所有的操作以及特定安全事件的成功或失败操作（比如所有的身份验证尝试，失败的控制访问等）。
7.采用黑白名单机制，如IP、UA、referer等。