每次登录都弹验证码？这可能是最贵的安全债

每次登录都弹验证码，你到底是在保护用户还是在劝退用户？ 看完FusionAuth这篇"Intelligent MFA"，我得出一个不太受欢迎的判断：一刀切的MFA是在用用户体验买单——而且这单越买越贵。 传统方案把所有登录都当高风险对待，结果用户被反复验证码折磨，安全感的提升却极其有限。智能MFA的思路是：老用户天天来，扫一眼就放行；生面孔、深夜、异地，才拉响警报。按风险等级分配验证强度，而不是让所有登录都过同一道关卡。 但谁来定义"风险"？误拦之后怎么补救？这些问题，技术选型回答不了。下一步，MFA该往更聪明的方向走，而不是更频繁。

原文：Intelligent MFA: Stop Challenging Logins That Don't Deserve It · 来源：Hacker News