上周蹲在某股份制银行的运维中心待了一下午，就看着穿格子衫的运维小哥对着告警屏幕挠头，红血丝快赶上我熬大夜赶稿的状态了。
告警弹了快三小时，说一个临时外包账号的生产库权限没按时回收，对方刚才的操作日志里，出现了修改备份策略的尝试。
追根溯源，就是身份认证的权限生命周期出了断层。
密码防线的崩塌早就不是新鲜事
没人真的愿意记密码。
真的。
你现在数一下自己常用的密码，是不是从大学用到现在，换个大小写就敢闯所有网站？去年看到的一份行业调研，超过六成用户在三个以上的平台用完全相同的密码，这事说出来都不稀奇。
麻烦在于，这套逻辑从根上就错了。密码本质是你和网站之间约定的一个暗号，只要这个暗号在传输、存储的任何一个环节漏了，不管你字母数字特殊字符凑得多么齐整，都等于裸奔。之前有个做安全的朋友吐槽，现在黑产收一套全平台通用的用户密码，价格比一杯冰美式还便宜。
哦对，别觉得加了验证码就万事大吉。我见过太多系统，把短信验证码当身份认证的终极解法，实际上现在接码平台的成本，低到可以批量薅互联网平台的新用户补贴。更可笑的是，有些系统的验证码逻辑写得敷衍，同一套验证码能在登录、改密、支付三个环节通用，等于把家门钥匙和保险柜钥匙焊成了同一把。
多因素不是凑够三个因子就完事
很多厂商一提身份认证升级，就直接往产品里塞“密码+短信+人脸”三件套，卖的时候吹得天花乱坠，真上线了用户骂声一片。别信那些把多因素认证吹成银弹的销售话术。
为啥？
你想想，你赶早高峰挤地铁，要过闸机，系统弹出来要你对着镜头眨三下眼睛、转个脑袋、读一串随机数字，后面排队的人能把你瞪出洞。技术上的完备性和实际使用的摩擦感，从来都是需要找平衡的，没有哪个方案是完美的。
我之前接触过一个做企业内部系统的团队，一开始硬上了人脸核验作为最高等级的认证方式，结果上线第一周，运维收到的报障有三分之一是——办公室光线太暗，人脸识别失败，卡了半小时进不了系统改不了周报。最后他们调整了规则：普通日常办公的操作，用已经绑定的硬件动态口令就够；只有涉及到导出核心数据、修改系统权限这类高风险操作，才触发人脸核验。
这才是正常的思路。不是所有操作都需要拉满认证强度，你得给不同的风险等级配不同的认证成本，不然用户为了绕开麻烦，自己会想歪招——比如把动态口令的密码写在便签纸上贴显示器边上，比如把人脸照片存在手机相册里，遇到要刷脸就直接对着镜头举相册。到最后你费了半天劲搭的防线，全被用户自己拆得稀碎。
还有个容易被忽略的点，就是认证的生命周期。很多团队做完了登录环节的校验，就觉得万事大吉了，完全不管会话中途的权限变化。比如你早上上班，用账号登了公司的系统，下午HR给你办了离职流程，系统的会话里还保留着你的操作权限，你哪怕坐在工位上不碰电脑，那个登录状态还能稳稳挂在那，直到几个小时后会话超时才自动退出。这种漏洞被盯上，后果比你想象的严重。说白了，身份认证从来不是只在你输密码那一秒生效的事，是从你账号创建、权限授予、日常操作、权限变更，到最后账号注销的全流程连贯动作，哪一段断了，前面搭的防线就全漏。
新的认证逻辑从来不是为了更难
现在行业里聊得最多的无密码方案，很多人第一反应是，哦，以后连密码都不用记了，肯定方便。但这事没那么玄。
你用Passkey登网站的时候，本质是你的设备帮你生成了一对非对称密钥，公钥存在网站的服务器上，私钥牢牢锁在你自己的设备安全芯片里。听起来比之前的密码方案靠谱多了对吧？是靠谱，但有代价。
啥代价？
你手机丢了。
如果之前的密码方案，你拿着新手机，靠收个短信、找客服核验身份，还能把账号找回来。现在全靠存在安全芯片里的私钥，要是没提前做好跨设备的密钥同步，你之前存在各个平台的账号，可能就真的找不回来了。我之前有个朋友，换新手机的时候没开跨设备的钥匙串同步，旧手机卖之前直接恢复了出厂设置，结果他存在那个支付平台的Passkey直接没了，折腾了快一周才把账号找回来，那段时间连吃饭都只能靠朋友代付。
还有人拿生物特征当万能钥匙，觉得指纹、人脸总不会被偷吧？实际上生物特征是你一辈子改不了的——你密码漏了可以换，你指纹被录下来了，你总不能把手指切了换个新的吧？之前有安全团队测试过，用3D打印的硅胶指纹膜，能骗过接近四成的消费级指纹识别模块，这事真不是危言耸听。
说白了，身份认证这行，从来没有一劳永逸的完美方案。你选了方便，就得承担一点安全风险；你选了最高等级的安全，就得接受用户操作的时候多花个几十秒。没有哪个方案能把两边的好处全占了，那些拍胸脯说自己的方案又安全又零摩擦的，全是在吹牛逼。
我上次跟个做了十几年身份认证的老工程师聊天，他说的话我印象特别深。他说这行做久了就会明白，你搭的所有防线，本质上都是在跟人打交道——你要防的是外面的坏人，也要体谅里面的用户，还要盯着系统里那些没被注意到的权限缝隙。哪头偏了，最后都是要出问题的。
哦对，上周那个银行的运维小哥，后来把临时外包权限的有效期从30天改成了4小时，到期自动回收，现在告警列表里的相关报错少了九成。他说之前总觉得权限开久点方便，省得每次外包来都要走一遍审批流程，上次差点出了生产事故才反应过来，哪有什么方便的防线，所有省下来的审批流程，最后都是要拿风险来还的。