Drupal专业开发指南第20章保护超级用户帐号

获取一个Drupal网站密码的最简单的方式是，打个电话给这个网站的秘书，这样说“你好，我是Joe。<一对客套话>。我是给你们的网站提供技术支持的，在技术支持中，我们遇到了问题。需要使用用户名和密码进行登录，你的用户名和密码是多少？”不幸的是，很多人会轻易的将这一私密信息告诉他人。尽管技术对此有所帮助，但是对于这种攻击，最好的办法还是对用户进行教育。

正因为此，最好不要将超级用户（用户1）授予任何人。对于任何维护网站的用户，只能授予他完成任务所需要的权限。这样，即使出现了安全问题，危害也是可以控制的。