个人工具为什么需要分级访问

同一个站点里，数据性质并不相同

项目介绍、公开文章、房价分析和浏览器本地转换工具，本质上是展示或公共服务。儿童成长照片、真实持仓、股票研究记录和失效分析档案则不同，它们包含持续积累的个人或工作数据，不能因为入口放在个人主页里就默认公开。

我采用的分级方式

第一层是完全公开的内容：文章、项目说明、公开数据看板和不上传文件的本地工具。第二层是需要访问验证的私人系统：成长档案、金融助理和股票研究。失效分析保留工具自身的访问码，因为它的前端与接口已经形成完整的会话流程。

访问验证只在服务器保存访问码摘要。浏览器拿到的是有时效的签名 Cookie，不会把访问码写进 localStorage，也不会把密钥放进前端脚本。未验证的页面跳转到统一验证页，未验证的 API 直接返回 401。

访问控制不等于绝对安全

它解决的是“默认不公开”和低成本扫描问题，仍然需要 HTTPS、最小端口、服务仅监听本机、日志检查、失败限速和备份恢复。对个人项目来说，先把敏感数据和公开内容分开，往往比堆叠复杂系统更有效。

一个简单判断

如果某个页面被搜索引擎收录、被陌生人截图或接口被批量下载会让人不舒服，它就不应该依赖“别人不知道 URL”来保护。边界应该在 Nginx 和应用入口处明确建立。