用户认证+网络安全，必避坑干货！

如今，黑客正投入前所未有的精力尝试入侵用户账户，多项数据显示，线上零售平台超过90%的登录尝试都来自黑客。这意味着，仅依靠用户名和密码，已经远远不足以确认登录者确为账户本人，企业必须落地一系列高级用户身份验证方案。下文将全面讲解用户身份验证相关知识，以及合理的安全策略如何保障账户安全。

落实用户身份验证最佳实践的重要性

基础的用户身份验证一般包含身份标识与密码两项要素，虽然能防止用户随意登录他人账户，但面对暴力破解等各类攻击，或是黑客已经获取用户密码的场景，将毫无抵御能力。而网络安全领域的高级身份验证则增设了一道防护屏障，能够确认访问系统的用户确为本人，抵御多种高频攻击，有效保护用户账户。下面就为大家介绍五项值得部署的用户身份验证最佳实践。

1. 限制登录尝试次数

这是一项通用的网络身份验证手段，但并非所有平台都予以部署。启用登录次数限制后，攻击者无法通过网页端界面对账户实施暴力破解。具体的实现方式有多种：可以针对频繁输错密码的IP地址进行拦截；也可以对多次登录失败的账户执行锁定，并向账户持有人发送告警；两种方案也可同时启用。

需要注意的是，限制登录并不代表直接禁止用户重试，也可以对达到指定失败次数的访问者弹出验证码（CAPTCHA），在给正常用户带来轻微不便的同时，阻止自动化程序持续发起登录请求。当然，设置登录限制时必须兼顾用户体验，如果用户仅仅输错一次密码就要求完成验证码验证，或是仅1~2次登录失败就直接锁定账户，极易引发用户不满。

2. 提供双因素认证（2FA）

大家大概率对双因素认证（2FA）并不陌生，该机制要求用户在登录前，输入发送至设备（通常是智能手机）的验证码。尽管这套验证方式并非绝对无法攻破，但能够为高敏感账户增加一道安全防线，相应代价是登录流程会变得繁琐一些。

3. 采用基于上下文的身份验证

基于上下文的身份验证会尽可能采集各类可用信息，以此判断登录者是否为账户本人，这类验证方式通常依托设备信息、用户地理位置数据。如果你曾经因为在陌生地点、新设备登录而被要求核验身份，那便是基于上下文的身份验证在发挥作用。

该机制有助于识别欺诈登录行为，因为黑客通常不会使用受害者常用的设备、地点登录账户。当然，不法分子也有办法伪造这类信息，但这项验证手段依旧可以构建一道重要防线，抵御网络攻击者。

4. 引入第三方身份验证

部分场景下，可以接入第三方登录服务，让用户借助外部载体登录账户，例如手机、邮箱或社交账号。通常通过 OAuth 协议，支持用户使用 Google、Facebook、Twitter 等账号登录网站。这种方式也减轻了用户的负担，用户无需记忆大量高强度密码，只需保障主账号密码具备足够安全性即可。不过，平台仍需管控身份验证流程中的诸多环节，例如 Cookie 管理、账号登出逻辑等。

5. 对密码进行哈希处理

用户普遍习惯在多个网站使用同一套密码，一旦系统遭到入侵，这些用户将会面临极大风险。如果采用未淘汰的哈希算法，并为密码添加随机字符串后再执行哈希运算，即便密码数据被盗，黑客也无法直接利用。

即便黑客已经获取明文密码，密码加随机字符哈希机制也无法阻止其登录；但一旦发生数据泄露、存储的密码数据落入他人手中，该机制能够避免大量用户账户遭到攻陷。

依托身份验证守护账户安全

用户账户持续面临黑客与网络犯罪分子的威胁，随着人们越来越依赖互联网处理敏感、高价值信息，这类攻击问题很可能愈发普遍。基础身份验证手段不足以抵御有备而来的攻击者，因此，建议部署高级验证方案，例如上下文认证、双因素认证、第三方认证。这些技术无法彻底杜绝黑客入侵账户，但能够搭建起至关重要的安全防护层。