一、认证基础：什么是身份认证？为什么需要身份认证？认证三要素
1.1 什么是身份认证？
身份认证，说白了就是回答一个问题：「你真的是你吗？」
我做了十几年安全，见过太多人把「认证」和「授权」搞混。其实很简单——认证是确认你是谁，授权是确认你能干什么。先有认证，才有授权。
举个生活中的例子：你去银行办业务，掏出身份证，柜员核对照片和本人是否一致。这个过程就是认证。系统里也一样，用户输入账号密码，系统验证是否正确，这就是最基础的身份认证。
核心定义：身份认证是系统验证用户所声称身份是否真实的过程。它是整个安全体系的第一道门。
1.2 为什么需要身份认证？
你想想看，如果没有认证，会发生什么？
- 任何人都可以冒充你登录银行账户
- 任何人都可以删除你的云上数据
- 任何人都可以以你的名义发消息
我在项目中遇到过一家创业公司，初期为了省事，所有 API 接口都不做认证。结果上线第三天，数据库被人删了个干净。嗯，从那以后他们再也不敢省这步了。
身份认证的核心价值有四点：
| 价值 | 说明 |
|---|---|
| 防冒充 | 确保操作者确实是其所声称的用户 |
| 可追溯 | 每个操作都能对应到具体的人 |
| 权限控制 | 只有合法用户才能访问对应资源 |
| 合规要求 | 满足等保、GDPR 等法规的基本要求 |
注意：没有身份认证的系统，就像没锁大门的房子。不是「可能被入侵」，而是「迟早被入侵」。我曾经见过一个案例，某平台因为认证缺失，被脚本小子用简单枚举就拿到了管理员权限——前后只花了 3 分钟。
1.3 认证三要素：你知道 / 你拥有 / 你是什么
这是身份认证的底层逻辑。所有认证方式，归根结底都逃不出这三类。
1.3.1 你知道什么（Something You Know）
最常见的形式：密码、PIN 码、密保答案。
- 优点：实现简单，成本低，用户习惯成熟
- 缺点：容易被泄露、被猜测、被钓鱼
我个人习惯把密码比作「门锁的钥匙」——方便，但丢了就完了。所以现在稍微正规点的系统，都不会只用密码做唯一认证。
1.3.2 你拥有什么（Something You Have）
硬件令牌、手机验证码、U 盾、智能卡、TOTP 动态码。
- 优点：攻击者需要同时拿到你的「物」才能突破
- 缺点：设备可能丢失、损坏，用户体验略差
我记得有一次做金融项目，客户坚持只用短信验证码做认证。我提醒他们：短信可能被拦截、SIM 卡可能被克隆。后来果然出了事——攻击者通过社会工程学补办了受害者的 SIM 卡，所有验证码都到了攻击者手机上。从那以后，他们才老老实实上了多因素认证。
1.3.3 你是什么（Something You Are）
生物特征：指纹、人脸、虹膜、声纹、掌静脉。
- 优点：难以伪造，用户无需记忆
- 缺点：不可撤销（指纹泄露了你能换吗？），识别有误差
我的建议：生物特征适合做「第二因素」，不适合做唯一认证。为什么？因为一旦你的生物特征数据被泄露，你没法像改密码一样「改指纹」。我在项目中一直坚持：生物特征只存在本地设备，不上传服务器。
1.4 三要素组合：多因素认证（MFA）
单独用任何一个要素都有风险。真正的安全，来自组合。
多因素认证（Multi-Factor Authentication, MFA）要求用户提供至少两个不同类别的认证要素。比如：
- 密码（你知道）+ 手机验证码（你拥有）
- 密码（你知道）+ 指纹（你是什么）
- 硬件令牌（你拥有）+ PIN 码（你知道）
关键原则：两个因素必须来自不同类别。密码 + 密保答案不算 MFA，因为两者都属于「你知道」。真正的 MFA 必须跨类别组合。
下面这张图展示了认证三要素的关系和 MFA 的组合逻辑：
1.5 认证强度对比
不同场景需要不同强度的认证。我习惯用下面这个表格来帮团队做选型：
| 认证方式 | 安全等级 | 用户体验 | 典型场景 |
|---|---|---|---|
| 仅密码 | 低 | 高 | 低风险内容浏览 |
| 密码 + 短信验证码 | 中 | 中 | 电商、社交登录 |
| 密码 + TOTP 动态码 | 高 | 中 | 企业系统、云平台 |
| 硬件令牌 + PIN | 极高 | 低 | 金融、政务、军工 |
| 生物特征 + 密码 | 高 | 高 | 移动端、支付验证 |
选型建议：不要追求「最安全」，要追求「够安全且用户愿意用」。我见过一个项目上了硬件令牌+密码+指纹三重认证，结果用户嫌麻烦直接弃用。安全如果牺牲了可用性，最终反而更不安全——因为用户会想办法绕过它。
1.6 常见误区与避坑
这些年我踩过不少坑，挑几个典型的说说：
- 误区一：密码复杂度越高越安全——其实 8 位随机密码比 16 位「Password123!」安全得多。长度不如熵值重要。
- 误区二：生物特征可以替代密码——不可以。生物特征一旦泄露就是永久泄露，你没法换指纹。
- 误区三：MFA 就是加个验证码——不是。MFA 要求不同类别，密码+密保答案不算 MFA。
我曾经踩过的坑：早期做一个支付系统，我图省事把短信验证码作为唯一认证手段。结果上线后，攻击者通过 SS7 协议漏洞拦截了用户的短信。那次事故让我明白——单一因素永远不够，哪怕它看起来再「安全」。
1.7 小结
身份认证是整个安全体系的基石。记住三要素：你知道、你拥有、你是什么。真正的安全来自组合使用，而不是依赖单一因素。
嗯，这一章就到这里。内容不多，但都是基础中的基础。后面的章节我们会一步步深入，从密码存储、Session 管理，到 OAuth 2.0、SSO、生物识别……把身份认证的每个环节都拆开揉碎讲清楚。