登录

定义

登录指在要求表明操作者身份的计算系统中,用户输入自己的身份标识与专有凭证并提交给系统,系统登记这一行为并按相应权限提供服务与操作。它是退出登录的相反动作,通常出现在需要区别人与人的多用户系统中^[1]。

登录并不总是必需的。若系统允许匿名使用,用户就可以绕过登录直接操作;而在图书馆借阅管理、BBS、网络游戏等记录个人数据的系统中,认证环节使登录与退出成为必然存在的操作^[3]。常见的登录界面包含账号输入框、密码输入框、登录按钮,以及注册与找回账号的入口^[1]。

登录与身份认证、授权两个概念既有区别又彼此衔接。认证解决的是“你是谁”,授权解决的是“你能访问什么”,认证在授权之前完成,登录成功是部分系统完成前一环节的标志。也有工程实践把登录界定为从识别用户身份到允许其访问相应资源的完整过程,其中包含鉴权与授权两个环节^[4]。

原理

登录的实现建立在身份认证之上。系统预先保存每个账号的凭证材料,用户提交时系统将其与存档比对,一致则判定通过。凭证大致分为三类:用户知道的密码或口令,用户持有的证件、令牌与设备,以及用户固有的指纹、人脸、虹膜等生物特征;安全性由低到高,实现复杂度也随之上升。

认证通过后,系统通常会为用户建立一个会话,并下发会话标识或令牌。浏览器场景下常由会话 Cookie 承载,子系统只需识别该凭证即可判断访问者身份,而不必每次都重新核验密码^[4]。令牌一般具有较短的有效期和明确的权限范围,可被数据所有者撤销,与长期有效的密码形成对照^[5]。

多系统环境下,登录常通过单点登录(Single Sign-On, SSO)实现。以集中式方案为例,用户访问业务系统时被重定向至统一认证中心,在中心完成认证后携带票据返回,业务系统再向中心校验票据并建立本地会话,过程可以用下面的时序概括^[6]：

sequenceDiagram

participant U as 用户浏览器

participant A as 业务系统

participant S as 认证中心

U->>A: 请求受保护资源

A->>U: 未登录,重定向并附带地址参数

U->>S: 访问统一认证入口

S->>U: 返回登录页面

U->>S: 提交账号与凭证

S->>U: 认证通过,下发票据并跳回

U->>A: 携带票据访问

A->>S: 校验票据有效性

S->>A: 返回用户信息

A->>U: 建立本地会话,允许访问

基于 OAuth 2.0 的第三方登录采用类似思路,以授权码模式为例:客户端引导用户跳转授权服务器,用户同意后取回授权码,再由服务端用授权码换取访问令牌^[6]。相关协议强调授权码只能由后端兑换,并普遍要求使用 HTTPS 以降低凭证在传输中被截获的风险^[7]。

为提升安全性,系统会把不同类型的认证因素组合使用,即多因素认证(Multi-Factor Authentication, MFA)。其要求是所组合的因素必须属于不同类型,两个不同密码或“密码加地理位置”都不构成真正的多因素认证^[8]。较新的方案如通行密钥(Passkey)基于公开密钥密码,登录时由设备中的私钥对服务器下发的数据签名,服务器验证签名即可确认身份,私钥本身不在网络上传输^[9]。

发展历程

计算机早期使用者极少,身份核验的需求并不突出;商用大型机以批处理方式运行时,由于按作业量计费,才需要记录谁使用了多少机时,认证由此具备实际意义^[9]。

1961 年,麻省理工学院(MIT)的费尔南多·科尔巴托在兼容分时系统 CTSS 中采用了“标识符加口令”的核验方式,被视为现代在线用户认证的开端。分时系统让多人交互使用同一台计算机,小型机与工作站又推动账户从组织共用转向按人建立,用户名加密码因此成为长期主流做法^[9]。

此后的演进围绕弥补口令可被冒用的弱点展开。一次性口令率先普及,指纹、虹膜、静脉、人脸等生物特征随后进入 ATM、手机与个人电脑,组合多种因素的多因素认证逐渐常见^[9]。在系统架构层面,登录方式也经历了从单体应用的账号密码校验,到令牌验证,再到统一账号中心与外部 OAuth 授权的发展^[10]。

近年的变化集中在无密码方向。以公开密钥技术为基础的通行密钥在约 2023 年前后开始被消费级服务采用,其密钥对生成与注册可由系统自动完成,省去了早期公钥登录需要用户手动配置的步骤^[9]。

应用

登录几乎出现在所有需要区分用户的场景。操作系统可配置为开机或从睡眠唤醒后要求登录,安装软件、修改系统文件时也可能再次要求核验;网页邮箱、金融站点、应用商店与文件传输服务均以账号密码作为准入条件^[2]。在网络设备管理中,管理员需先登录才能修改路由器或有线路由设备的配置^[2]。

企业信息系统普遍采用统一认证。高校师生可通过网页虚拟专用网、短信认证或个人账号密码登录校园系统以远程访问学术数据库;教学管理系统则以学号、工号作为用户名^[10]。协作类应用支持手机号、邮箱、扫码与 SSO 等多种入口,并允许在同一客户端内同时登录多个账号、随时切换。

面向开发者的接口中,登录常以 SDK 形式提供。以游戏接入为例,登录接口返回账号标识、令牌与有效期等参数,业务服务端还需对令牌再做一次校验,校验失败时调用登出接口后重新登录,避免长期缓存过期凭证导致无法进入^[11]。

局限

登录只能证明提交凭证的一方通过了核验,无法保证此后的会话始终属于本人。会话 Cookie、访问令牌与刷新令牌若被截获,攻击者无需再次输入密码或通过二次验证即可复用已认证的会话^[12]。中间人代理型攻击正是利用这一点:钓鱼站点作为反向代理转发用户与真实服务器之间的全部流量,用户在页面上照常完成多因素认证,而会话凭证在过程中被同步截获^[13]。

因此,多因素认证的防护范围有限。短信验证码、时间型动态口令与推送确认这类基于共享秘密的方式,其校验值可被转发中继,协议层面对请求来源缺乏强绑定,难以单独抵御上述代理型攻击。业界共识是 MFA 仍然必要,但已不足以单独构成企业访问控制的完整防线。

登录环节之外的薄弱点同样会导致失效。账号恢复流程、遗留系统保留的弱备用认证方式、终端上的恶意软件,都不在登录鉴权的作用范围内,加固登录并不等于解决身份安全的全部问题。此外,记录机时的初衷与今日的权限控制目标并不相同,登录所能提供的仅是可追溯的操作归属,不构成对操作本身的合法性判断^[9]。

参见

• 身份认证 —— 登录的核心环节,核验操作者身份是否与其声称的一致。

• 授权 —— 认证之后确定用户可访问哪些资源的过程。

• 单点登录 —— 一次认证后访问多个互信系统的登录方案。

• 多因素认证 —— 组合两类以上不同认证因素以提升登录安全性。

• 通行密钥 —— 基于公开密钥密码的无密码登录技术。

• 退出登录 —— 登录的相反行为,结束当前会话。