多用户与权限位详解：给家人、朋友、游客各开一个合适的账号
OpenList 的多用户体系是「账号 + 权限位」模型：每个用户有基本路径与一组细粒度开关，公开分享、家庭共用、团队协作都靠它落地。
用户的核心字段
- 用户名 / 密码：登录凭据。密码对游客（guest）无效
- 基本路径：用户登录后看到的「根目录」。只给看影音库就填影音库的挂载路径；想让一个用户看多个目录，用 别名存储 先聚合再指向它
- 权限位：见下表
权限位速查
| 权限位 | 控制什么 |
|---|---|
| 可以看到隐藏 | 是否能看到被 元信息 隐藏的文件 |
| 不需要密码 | 免输目录密码访问受保护路径 |
| 添加离线下载任务 | 能否使用 离线下载 |
| 创建目录或上传 | 新建文件夹、上传文件 |
| 重命名 / 移动 / 复制 / 删除 | 四项基础写操作各自独立开关 |
| WebDAV 读取 / 管理 | WebDAV 的只读与写入两级 |
| FTP 读取 / 管理 | FTP 服务 同款两级 |
| 读取压缩包 | 在线预览压缩包内容（见 文档预览） |
给家人开账号的推荐组合：基本路径指向聚合了影音和照片的别名目录，权限只勾「WebDAV 读取」+ 读取相关项——只读、只看，删不了东西。
游客（guest）账号
内置的 guest 用户决定「不登录的人能看到什么」：
- 默认游客可见全站未加密内容；停用 guest 后访问任何页面都会强制跳登录页（3.10.1 及以上版本行为）
- 想做「登录后才可见」的私密站，三种做法任选：停用游客、用 元信息 给根目录加密、把游客基本路径指向空目录
安全红线
- 连续 6 次密码错误会封该 IP 30 分钟（不影响其他 IP），重启程序可立即解除封禁
- 给别人开写权限 = 把服务器的网络能力交出去（离线下载任务可访问内网地址），官方文档明确提醒只授信给可信用户
- 管理员密码忘了走 登录排查，别反复试错触发封禁