简体中文
Englishauthentication(身份验证)是什么?常见方式、应用场景与易混淆概念
更新时间
Authentication（身份验证）是确认“你是谁”的过程：系统要求你提供一种或多种凭据，验证通过后才允许你进入。它解决的是身份真实性问题，不决定你能做什么——后者属于 authorization（授权）。只要涉及登录、远程接入或敏感操作，就需要 authentication；选择哪种方式，取决于你要防的风险、用户规模、部署条件和体验容忍度。
authentication 与 authorization 的区别
两者常被混用，但回答的是不同问题：
| 维度 | Authentication（身份验证） | Authorization（授权） |
|---|---|---|
| 回答的问题 | 你是谁 | 你能做什么 |
| 发生顺序 | 先验证身份 | 验证通过后再判定权限 |
| 典型动作 | 输入密码、提交 OTP、刷指纹 | 访问某文件、调用某接口、进入某管理页 |
| 失败结果 | 无法登录 | 已登录但被拒绝访问 |
一个常见误解是“登录成功就等于有全部权限”。实际上，登录只是 authentication 通过，系统随后仍会按角色、策略决定你能看到和操作哪些资源。
常见的验证因素
验证因素通常分为几类，安全性来自“组合不同类别”，而不是简单叠加同一种东西：
- 你知道的：密码、PIN、口令。
- 你拥有的：手机（接收短信 OTP）、软件令牌、硬件令牌、智能卡。
- 你是什么：指纹、人脸、虹膜等生物特征。
单靠密码属于单因素验证，容易被钓鱼、撞库、密码窃取攻破。把密码与“你拥有的东西”组合，就构成双因素验证（2FA/TFA）；再叠加更多类别，则称为多因素验证（MFA）。2FA 是 MFA 的一种常见形式。
一次性密码（OTP）与令牌
OTP（one time password，一次性密码）每次登录使用不同、用后即废的密码，即使被截获也难以复用。常见实现包括：
- 短信 OTP：由验证服务器生成，按请求发送到用户手机，作为第二验证因素。
- 软件令牌：在手机或电脑上运行的 OTP 应用，例如基于 Java 的软令牌，通常由密码保护。
- 硬件令牌：独立物理设备生成 OTP，用于替代传统硬件令牌。
- Windows / Windows Mobile 令牌：在 PC、笔记本或 PDA、Pocket PC 上管理 OTP 与密码。
以 Mega AS 的 CAT（Cellular Authentication Token）产品线为例，它同时提供 iPhone 令牌、短信 OTP、Windows 令牌、Windows Mobile 令牌，以及供网站集成强验证的 eAuthentication API。其 CAT 与 Open Authentication（OATH）参考架构一致，并符合 IETF 提出的 OATH TOTP 算法。这意味着采用标准 TOTP 的令牌与服务器之间可以按统一算法对时生成验证码，而不是各厂商私有方案。
典型应用场景
Authentication 几乎出现在所有需要确认身份的地方：
- 网站与网上银行登录：密码 + OTP 防止账号被盗用。
- VPN 与远程访问：远程接入企业网络前验证身份。
- 企业身份管理：统一管理大量用户、多个站点与网络的访问控制。
- 集成到现有系统：通过 API 为自有网站加入强验证，而不必自建 OTP 服务器。
Mega AS 的资料显示，其 CAT 方案面向互联网银行、互联网服务、政府、医疗、医院、大学、律所、高科技与电信等行业，并可与 Internet、LAN、VPN、MS OWA、MS ISA、MS IAS、远程访问、Citrix、CheckPoint、Cisco、支持 Radius 的软件或设备、Cyber-Ark、磁盘加密等环境配合使用。同一企业可以混用多种 CAT 令牌与工具，管理任意数量的站点和网络。
如何选择验证方式
选择时需要在安全性、成本、体验和部署复杂度之间权衡。可用下面的维度对比：
| 方式 | 安全性 | 用户体验 | 部署复杂度 | 适用条件 |
|---|---|---|---|---|
| 仅密码 | 低 | 简单 | 低 | 低风险内部系统 |
| 密码 + 短信 OTP | 中 | 需能收短信 | 中 | 面向普通用户的网站、银行 |
| 密码 + 软件令牌 | 中高 | 需装应用 | 中 | 不愿依赖短信、需离线生成 |
| 密码 + 硬件令牌 | 高 | 需携带设备 | 高 | 高安全要求、固定人员 |
| 生物识别 | 高（配合其他因素更佳） | 便捷 | 取决于设备 | 有相应硬件支持 |
如果目标是替代传统硬件令牌、又不想自建 OTP 服务器，可考虑软件令牌加 API 集成的路线；如果用户群广泛且不愿安装应用，短信 OTP 的接受度通常更高，但依赖运营商网络。Mega AS 提供免费的 eAuthentication Service（SaaS）供网站使用，并称对管理的身份数量没有限制——这类 SaaS 入口适合先验证集成流程，再决定是否自建。
常见失败与排查方向
验证失败时，按因素逐项排查通常最快：
- OTP 收不到：检查手机信号、短信拦截、号码是否正确；短信 OTP 依赖运营商送达。
- OTP 始终无效（时间不同步）：TOTP 类令牌依赖客户端与服务器时间一致，检查设备时间是否自动同步。
- 令牌失效或被锁定：确认令牌是否过期、账号是否因多次失败被锁定，必要时走重置流程。
- 软件令牌打不开：软令牌通常受密码保护，忘记密码可能需要重新注册令牌。
- 登录成功但无法访问资源：这多半不是 authentication 问题，而是 authorization 配置，检查角色与权限策略。
理解 authentication 的核心——验证“你是谁”，并与授权区分开——能帮你在选型时抓住重点：先明确要防的威胁和用户条件，再决定用密码、OTP、令牌还是生物识别的组合，而不是盲目堆叠验证步骤。