登录安全基础：除了密码，还要检查找回账号

画出账号生命周期

列出注册、登录、密码重置、邮箱修改和关闭账号，并为每一步确认负责团队，包括第三方身份服务。使用外部登录供应商，不意味着整个账号生命周期都已经被覆盖。

一起检查防护措施

OWASP 建议采用多因素认证、登录频率限制以及敏感操作重新认证等措施。应把这些控制作为协调的策略检查。若一种措施虽然抑制滥用，却频繁锁住正常用户，也需要运营层面的改进。

为客服提供明确路径

说明用户失去访问权时客服可以做什么，避免通过普通消息临时决定身份。安排升级负责人，并使用获批测试账号演练恢复过程，不要等到真实客户事件才开始摸索。

执行清单

• 将账号恢复纳入检查。
• 保护高权限账号。
• 定义需要确认的敏感变更。
• 演练客服升级路径。

常见问题

开启多因素认证就完成了吗？

没有。账号恢复、认证方式变更及客服操作仍需要配套保护，应检查完整账号旅程。