宝塔面板子账号不支持真正的只读权限，因其权限模型为“范围隔离+功能继承”，后台无细粒度只读开关，所有被授权站点的操作按钮均可见可用。

宝塔面板的子账号功能不支持真正的只读权限——所有子账号默认拥有其管理范围内站点的全部操作权（包括删除、修改配置、执行命令），无法通过后台开关或勾选实现“仅查看不操作”。

为什么子账号无法设置为只读

宝塔当前（v8.x 及之前版本）的子账号权限模型是「范围隔离 + 功能继承」：子账号只能看到指定网站/数据库/FTP，但一旦进入，文件管理、SSL、防火墙等模块的操作按钮全部可见且可用。后台没有 readonly、view_only 或类似权限粒度控制项。

常见错误现象：
• 勾选“仅允许管理以下网站”后，仍能点击“删除站点”按钮
• 子账号进入文件管理器后可编辑任意被授权站点的 .htaccess 或 nginx.conf
• 后台无“禁止删除”“禁止重启服务”等细项开关

• 该限制源于宝塔底层权限系统未对接 Linux 文件 ACL 或 Web UI 行级权限控制
• 官方文档从未承诺“只读子账号”，相关社区提问均被回复为“暂不支持”
• 如果你看到第三方插件或脚本声称能实现只读，大概率是通过禁用按钮 JS 或隐藏 DOM 实现——可被绕过，不具安全性

替代方案：用 Linux 系统级权限 + 定制入口模拟只读

真正可控的方式是绕过子账号机制，改用系统用户 + 严格目录权限 + 只读 Web 终端入口。适用于需要给运维同事、客户或外包人员“看得到但动不了”的场景。

• 新建系统用户：useradd -m -s /bin/bash readonly-user
• 将目标网站根目录设为只读：chown -R root:www readonly-user && chmod -R 750 /www/wwwroot/example.com（确保 www 组无写权限）
• 安装 bt-terminal 插件（或启用宝塔自带终端），然后在终端里用 sudo -u readonly-user ls /www/wwwroot/example.com 验证不可写
• 如需 Web 界面浏览日志或配置，可单独部署一个轻量 PHP 脚本（如 /www/wwwroot/read-only-viewer/index.php），仅调用 file_get_contents() 读取 access.log 或 nginx.conf，不提供表单或 POST 接口

注意：此方式下，该用户无法登录宝塔主界面，也不能使用面板任何功能按钮——只读是系统级强制的，不是界面隐藏。

如果必须用子账号，唯一缓解手段是范围+行为双锁定

虽不能只读，但可通过组合限制降低误操作风险：

• 子账号创建时，务必取消勾选“数据库管理”“FTP 管理”“计划任务”——这些模块误删成本最高
• 仅勾选“网站”并严格限定到 1 个站点；不要勾选“全部网站”或多个域名
• 在该站点的 SSL 页面，点击“关闭 SSL”并删除证书（避免子账号误点“续签”触发自动写入）
• 进到 网站 > 设置 > 配置文件，手动在 location ~ .*\.(php|jsp|cgi|pl|py)?$ 块里加 deny all;（防止子账号上传 WebShell 后执行）
• 定期检查 /www/wwwlogs/ 下该站点日志，监控是否有异常 POST 或 DELETE 请求

最易被忽略的一点：子账号密码强度和登录 IP 限制没做的话，只读目标会直接失效——攻击者只要拿到子账号就能进文件管理器，而那里没有任何只读保护逻辑。