使用webx编写小工具，向测试同事开放部分线上权限

工具简介：可解除登录二次验证、登录进一步验证、查询注册手机验证码。 daily可对任意账号操作，线上及预发仅支持测试账号。工具仅内网可访问。

3r0mB;y$hx M!h {'W0背景：

        根据业务安全发展需要，后台新增了登录二次验证、垃圾账号等处罚。大多数对线上卖家以及垃圾小号进行处罚。被处罚的账号登录受到限制，后续操作受到阻碍。51Testing软件测试网(f,O2JZdA

同时，测试同事每天对一大批测试账号进行操作，经常会触发这些处罚。每次受到处罚后，只能拜托业务安全的同事逐一对账号进行修改。这类事情每天发生，频率高，操作成本大。51Testing软件测试网:l_c8|`5V

编写工具之前：

        我负责这块业务，每周都需要对数十个测试账号进行后台操作，觉得很麻烦。所以一直在思考怎么减少操作成本，问题有几个：51Testing软件测试网.M-f StGe

1. 工具放在哪里，怎样可以只让同事访问，又不影响我的工作？

最后选择了放在login应用的日常机器上，使用webx，只需要新增一些页面文件，调用现成的uic接口。且daily环境只允许内网访问，页面不会泄露出去。daily下对所有的账号都可以进行操作，部署也比较方便。想法与应用负责人确认。51Testing软件测试网5t&y)Q7dz8tj.S

2.如何实现对线上和预发账号的管理？又不泄露权限？

        一开始我想过，待应用发布后，直接使用相应的线上url或绑定预发ip，就可以使用线上和预发功能。但是这样不妥有二，一是url泄露的话，非测试同事也可以对任何账号进行操作，相当于泄露了线上权限；二是同事使用时，还要切换url或host绑定，非常不友好。

后来我想到，将工具页面写在daily上，增加环境选项，当为线上或预发时，直接访问线上或预发的action，同时将页面setRedirectLocation写死，转到daily工具页面。同时在action代码里，对传入的nick进行判断，daily允许对所有账号操作，线上和预发则根据白名单账号列表进行匹配，非白名单账号则不能修改。这个方案同时也得到了网安同事的确认。51Testing软件测试网
B'Jd9v.Q'P)e:]*s

编写工具：编写过程不难，使用webx结构。值得注意的是根据环境不同，要对传入的nick做不同判断，分支较多，daily-线上的跳转逻辑要清晰。