常见的网络登录认证方式
每天早上打开手机，你可能要输入指纹解锁，接着登录微信、查看邮箱、进入公司内网。这些操作背后都离不开一个关键环节——登录认证。简单说，就是系统确认“你是你”的过程。最基础的方式就是用户名加密码，虽然老派，但依然广泛使用。
用户名 + 密码：最熟悉的门槛
这种模式成本低、实现简单。用户注册时设置一组凭证，服务器存储加密后的密码（通常是哈希值），登录时比对即可。但问题也很明显：弱密码容易被猜中，重复使用密码一旦某平台泄露，其他账户也遭殃。
POST /login HTTP/1.1\nHost: example.com\nContent-Type: application/x-www-form-urlencoded\n\nusername=john&password=123456验证码与图形码：防机器人小帮手
你有没有遇到过登录页面弹出“点选所有包含红绿灯的图片”？这就是图形验证码的一种，用来区分人类和自动化脚本。短信验证码也算这类延伸，通过手机号接收一次性代码，提升安全性。不过短信可能被SIM卡劫持，也不是绝对安全。
双因素认证（2FA）：再加一道锁
想象一下，你家大门钥匙丢了，但还有一道指纹锁。2FA就是这个逻辑。除了密码，还需要第二重验证，比如手机App生成的动态码（Google Authenticator）、硬件密钥（YubiKey）或生物特征。即使别人知道你的密码，没有第二因子也进不去。
// TOTP 动态码生成示例（RFC 6238）
const totp = new OTP({
secret: 'JBSWY3DPEHPK3PXP',
period: 30
});
const token = totp.generate(); // 每30秒变一次单点登录（SSO）：一次登录，多个系统通行
在企业办公场景里，员工不需要为OA、CRM、邮件系统分别记密码。通过SSO，比如用企业微信或钉钉统一登录，后台通过SAML或OAuth协议完成身份传递。既方便又便于集中管理权限。
无密码登录：未来的趋势
苹果的“通行密钥”（Passkey）就是典型例子。你用Face ID或Touch ID登录网站，背后的原理是基于公钥加密。服务器只存你的公钥，私钥留在设备本地，不会上传也不会被窃取。这种方式跳过了密码本身，从根本上避免了密码泄露风险。
生物识别：便捷与隐私的平衡
指纹、人脸、虹膜等生物特征作为认证手段越来越普遍。它们的优点是方便，缺点是不可更改。如果指纹数据泄露，你没法换一双手。因此这类信息通常只保存在本地安全芯片中，不上传服务器，防止大规模泄露。
实际建议：如何提升自己的登录安全
普通用户不必搞懂所有技术细节，但可以做到几点：启用2FA，尤其是邮箱和支付类账号；使用密码管理器生成并保存复杂密码；定期检查账户登录记录，发现异常及时处理。家里老人用手机银行，不妨帮他们开启指纹+短信双重验证，多一层保障。