身份认证
定义
身份认证是指在计算机及计算机网络系统中确认操作者身份的过程，借此判断该用户是否具备对特定资源的访问与使用权限，从而使系统的访问策略能够可靠执行[1]。由于网络环境中的身份信息以数据形式存在，系统只能识别数字身份，认证要解决的问题是让物理身份与数字身份相对应[1]。这一过程与授权不同：认证只回答操作者是谁，授权则决定其可以做什么。
身份认证所依据的证据称为凭据，单独的账号名称不足以证明身份，因此需要附加口令或其他因素。按照美国国家标准与技术研究院的数字身份指南，认证环节的可靠程度用认证保证级别（AAL）分级，从只要求单因素认证的 AAL1 到要求抗网络钓鱼的硬件密码模块的 AAL3[3]。
原理
认证技术通常按证明依据分为三类因素：主体所知道的信息，如口令与个人识别码；主体所持有的物品，如智能卡、硬件令牌与手机；主体自身固有的身体特征，如指纹与人脸[4]。只使用其中一类称为单因素认证，要求来自不同类别的两个及以上因素则称为多因素认证，例如口令配合手机端一次性验证码[5]。同一类因素叠加使用不构成多因素，仅凭生物特征本身即使用作认证手段，在某些规范中也不单独视为一个认证器[6]。
静态口令系统的服务器保存合法用户的账号与口令记录，用户提交后与之比对，一致则放行[7]。为降低口令库泄露的后果，系统一般只存储口令的单向函数值，比对的是函数值而非明文[7]。一次性口令则每次生成新的数值，按时间同步或按事件同步，若终端与服务器时钟不一致可能导致登录失败[8]。
基于非对称密码的认证有两种典型思路：验证方向被验证方发出明文挑战，对方用私钥处理并返回，验证方再以对应公钥验算；或验证方用对方公钥加密挑战，对方以私钥解密后回应[7]。这类交互依赖密钥对的数学关系，其安全强度可表示为密钥长度与所用算法的函数：$S = f(L, \text{alg})$，密钥被窃取则强度归零。
sequenceDiagram
participant C as 声称方
participant V as 验证方
C->>V: 提交身份标识与凭据
V->>V: 比对凭据或验算签名
alt 校验通过
V->>C: 建立会话
else 校验失败
V->>C: 拒绝访问
end
以公钥基础设施（PKI）为支撑的数字证书由证书认证机构签发，把用户身份信息与公钥绑定；依赖方预先保存所信任的根证书，通过证书链验证取得对方公钥[8]。该体系可提供鉴别、加密、完整性与不可否认性服务，其基础是公钥密码算法[9]。
发展历程
计算机口令的雏形可追溯至 20 世纪 60 年代初麻省理工学院的 CTSS 分时系统，此后数十年间账号加口令成为数字世界最主流的认证方式[10]。有研究按技术特征将网络可信身份认证划分为三代：第一代以静态口令与动态口令为代表，典型形态是账号加口令、手机动态验证码[2]。
第二代以 PKI 技术为代表，典型形态包括文件证书、USBKey、手机盾、网络电子身份标识与 FIDO 等[2]。就标准沿革而言，1978 年首次出现证书概念，1988 年推出第一版 X.509 标准，1995 年互联网工程任务组设立 PKIX 工作组把该标准用于互联网[8]。
第三代以生物识别、大数据行为分析与量子加密等技术为代表，在移动互联网快速普及的背景下兴起[2]。2012 年 7 月，旨在解决强认证技术互操作性不足的 FIDO 联盟成立[11]。2019 年 3 月 4 日，万维网联盟与 FIDO 联盟宣布 Web 身份验证（WebAuthn）规范成为正式 Web 标准，该规范是 FIDO2 规范集的核心组件[11]。
在规范层面，美国国家标准与技术研究院 2017 年发布的数字身份指南以身份保证级别、认证保证级别与联邦保证级别三个维度取代了原有的单一保证等级划分[12]。该指南的修订版进一步要求评估基于口令的系统是否仍能提供足够保护，并把抗网络钓鱼认证提到更突出位置[13]。
应用
在网络服务中，认证是登录、解锁设备与访问企业系统的必经环节，系统在核验凭据后决定放行或拒绝。多因素认证常被纳入单点登录与身份和访问管理方案中，成为企业架构的组成部分[5]。
在微服务架构中，认证逻辑可按部署位置分为多种模式：由每个服务内嵌组件校验、由与服务同部署的边车代理统一处理，或在系统边界由 API 网关、入口代理集中完成并向下游传递已验证的身份信息[14]。边界模式使用 OIDC 或 SAML 与身份提供方交互，校验 OAuth 2.0 访问令牌，或以双向 TLS 完成证书认证[14]。
在行业场景中，数字证书类身份凭证被用于网站安全、电子单据、供应链金融与物联网等方向[9]。FIDO 规范的无口令认证技术借助操作系统、浏览器对标准的兼容以及终端生物识别能力的普及，已在网络应用的用户认证环节具备替代口令机制的条件，证券等行业先在内部办公系统中开展试点[15]。此外，远程身份核验服务通过采集证件影像、比对人脸并校验姓名、出生日期与证件号码，在线上完成对申请人的身份确认。
局限
认证只确认身份，不规定权限，通过认证并不意味着被允许执行某项操作。单因素方式尤其脆弱：口令可能被窃取、猜测或通过网络钓鱼获得，一旦唯一的因素失守，攻击者就具备了冒充该用户所需的全部条件。即便是多因素方案也存在薄弱环节，短信一次性验证码容易被网络钓鱼绕过，使用便捷性与采用率同样受限[11]。
在部署层面，把认证集中到网关或入口代理会形成单点，配置失误或被攻破会影响全系统的认证判断，且该模式通常只覆盖外部请求，服务之间的内部调用仍需单独机制[14]。边车代理模式还面临身份标头被伪造的风险，若调用方能够直连应用端口或代理转发了外部传入的身份标头，应用就可能采信伪造身份[14]。
标准对认证强度设有明确上限与门槛，例如验证方须限制同一账号使用某一认证器的连续失败次数，超过阈值即禁用该认证器并要求重新绑定[6]。生物特征在规范中本身不被单独视为认证器，需与物理认证器配合使用，这限制了仅凭生物特征完成认证的适用范围[6]。认证会话也不是永久有效的，规范要求设置总体超时与不活动超时并进行周期性重新认证[6]。
参见
参考资料
- [科普中国]-身份确认 [引用日期2026-10-29]
- 网络空间安全 [引用日期2026-10-29]
- Levels of assurance frameworks [引用日期2026-10-29]
- 认证 [引用日期2026-10-29]
- 什么是多因素身份验证（MFA）？ [引用日期2026-10-29]
- NIST.SP.800-63B-4(PDF) [引用日期2026-10-29]
- 身份识别技术 [引用日期2026-10-29]
- 作者信息 [引用日期2026-10-29]
- 守卫数字安全门户，数字证书技术为网络身份安全提供保障 [引用日期2026-10-29]
- 社区首页 >专栏 >从密码到刷脸，身份认证技术的进化史 [引用日期2026-10-29]
- W3C 和 FIDO 联盟最终确定安全、无密码登录的 Web 标准 | FIDO Alliance [引用日期2026-10-29]
- mic-drop-announcing-new-special-publication-800-63-suite [引用日期2026-10-29]
- NIST SP 800-63-4: Review Your Authentication Strategy Now [引用日期2026-10-29]
- Authentication Patterns [引用日期2026-10-29]
- sse.com.cn 上的 PDF 文件 [引用日期2026-10-29]