身份认证的坑比手机缓存还多
2026-11-10 19:40:14
作者：
fawen
上周帮南京的一个老程序猿朋友清手机内存，翻到他安装的7个身份认证类APP，光这几个的缓存加起来就快2G。他自己都懵，说就平时登个公司内网、开个社保查询、进个政务大厅预约系统，怎么就装了这么多玩意儿。
说白了，这几年大家提身份认证，第一反应都是”多一层校验更安全”，但很少有人算过，这每一层校验，最后到底是谁在买单。
多出来的那层校验，到底防了谁
上周我登银行APP转一笔房租，先是输密码，然后刷脸，接着要收短信验证码，最后居然弹了个”设备风险校验”，要我拍手持身份证的照片。我当时就火了。我自己的手机，我自己的银行卡，我刚输完6位交易密码，你还要我拍身份证？
后来打客服电话问，人家说这是去年新上的风控策略，防止账号被盗。
我问那如果盗号的人，刚好能拿到我短信，还能找个和我长得像的人刷脸，甚至能拿到我身份证照片呢？
客服沉默了两秒，说那我们也没办法。
你看，这就是现在很多身份认证系统的通病——把”增加用户操作成本”等同于”提升安全等级”，从来没停下来想过，这套逻辑到底能不能挡住真正的坏人。
手机APP多因素身份认证弹窗界面
之前听一个做风控的朋友吐槽，说他们公司之前上线了刷脸认证，刚上第一个月，盗号率确实降了30%，但用户的登录放弃率涨了70%。后来算ROI，发现为了防那30%的盗号，要承受70%的用户直接走掉的损失，最后又把刷脸的优先级调低了，只有异常登录的时候才弹。
麻烦在于，很多做系统的人，根本不会算这笔账。他们的KPI是”有没有上线多因子认证”，不是”上线之后到底有没有用”。只要政策要求要加，只要行业里别人都有，那就往上堆，堆到最后用户登个录要走5个步骤，连自己都嫌麻烦，干脆把密码写在便签里，反而更不安全。
哦对，还有那个大家都烦的短信验证码。之前有个做运营商的朋友说，现在90%的短信验证码，其实都是可以被拦截的，只要你的手机中了木马，或者SIM卡被别人补了，验证码根本挡不住人。但为什么大家还在用？
因为便宜。
因为好实现。
因为没人愿意换一套更复杂的体系。
那些吹得神乎其神的认证方式，到底靠谱吗
先说刷脸。
去年我在一个政务大厅办业务，窗口的工作人员拿个pad对着我脸扫了三秒，说认证通过了。我当时凑过去看了一眼他们的系统后台，那照片分辨率低到连我有没有戴眼镜都看不清，就这么敢说”人脸比对一致”？
后来才知道，很多所谓的刷脸认证，根本不是什么高精度生物识别，就是拿摄像头拍个照，和身份证上的照片做个低精度比对，只要五官位置对得上，就给过。真要有人拿个打印的照片对着摄像头，说不定也能蒙混过关。
还有现在吹得很凶的数字证书、U盾。我之前公司给每个开发发了个U盾，说登内网必须插U盾，结果那玩意儿经常丢，有人把U盾插在电脑上忘了拔，下班直接带回家，第二天还要跑半小时回来拿。更有意思的是，那U盾的密码，所有人都设的123456，因为太复杂了记不住。
你说这叫安全吗？
这不叫安全。
这叫给大家添堵。
政务大厅窗口人脸认证操作现场
还有现在很多地方推的”无感认证”，说只要你在设备上登过一次，以后就不用输密码了，系统自动识别你的设备特征给你放行。听着挺酷对吧？但上次我换了个新手机，登自己的云盘账号，直接被系统判定为”异常登录”，要我输验证码，还要我回答三个之前设置的密保问题。我连我三年前设的密保问题答案是什么都忘了，最后折腾了半小时才登进去。
说白了，所有”无感”的前提，都是系统能100%确认你是你，但这件事本身就不存在。只要是机器判断，就有误判的可能，要么把坏人放进来，要么把好人拦在外面。很多厂商吹”无感认证准确率99.99%”，但算下来，1000个用户里就有1个会被误拦，对于每天几十万访问量的系统来说，那就是几百上千个用户要折腾半天找客服，这笔成本，从来没人算在宣传册上。
真正的身份认证，从来不是堆步骤
真正的身份认证，从来不是堆步骤
上个月去南京的一个开发者沙龙，碰到个做身份认证的技术负责人，聊到现在的系统设计，他说了句实在话：”很多人做认证，第一步就错了。”
错在哪？
错在他们默认”所有用户的风险等级都是一样的”。
你平时天天在常用手机上登自己的账号，每次操作都是查个余额、改个收货地址，这种低风险操作，为什么要每次都刷脸、输验证码？反过来，要是有人第一次在异地登你的账号，上来就要转走所有余额，这种高风险操作，就算输了密码、刷了脸，是不是还要再多加一层校验？
现在的系统大多是反的。
低风险操作，堆一堆校验，把用户烦得要死。
高风险操作，反而随便输个密码就过了。
他说他们公司现在做的系统，是先给用户打风险标签，常用设备、常用地点、操作行为都正常的话，直接放行，最多输个密码就行。只有检测到异常行为的时候，才会弹多因子校验。就这么改了之后，用户的登录放弃率降了60%，盗号率反而没涨，甚至还降了一点——因为坏人根本摸不准什么时候会弹校验，试两次就被锁了。
这事没那么玄。
就是把之前”为了安全堆步骤”的思路，换成”根据风险动态调整校验强度”而已。
但为什么很多公司不愿意这么做？
麻烦。
要做用户行为分析，要建风险模型，要不停调整阈值，比直接堆个刷脸、堆个验证码要费事儿多了。不如直接把所有校验都加上，出了问题也能说”我们已经做了多因子认证了”，责任不在自己。
哦对，还有个很有意思的点，很多人觉得身份认证是技术问题，其实根本不是。这本质上是个取舍问题——你到底要多大的安全冗余，愿意为此付出多少用户体验的成本，最后算下来这笔账划不划算。
没有绝对安全的系统。
你就算把密码设成32位随机字符串，要刷指纹、刷脸、刷虹膜，甚至要拿个物理钥匙插进去才能登，只要用户觉得麻烦，就会想各种办法绕开这些限制，最后反而更不安全。
之前有个朋友说，他们公司内网要求每15天换一次密码，还要包含大小写、数字、特殊符号，不能和之前三次的密码重复。最后所有人的密码都是”Password1!””Password2!”，就改最后一位数字，比设个固定的123456还容易猜。
你看，这就是典型的”为了合规而合规”，最后安全没提升，反而给大家添了一堆麻烦。
说到底，身份认证这东西，从来不是越复杂越好。你要是能让用户用得舒服，还能挡住该挡的人，就已经赢过90%的系统了。
别总想着给用户加多少层校验，先想想你加的这些东西，到底能不能真的防住坏人，会不会把正常用户都给赶跑了。
对吧？
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。如有侵权请联系删除。
文章名称：
身份认证的坑比手机缓存还多
文章链接：https://www.itcdj.com/news/707.html