网络安全中“身份欺骗Spoofing”威胁类型及其对应的安全控制措施威胁类别SSpoofing身份欺骗攻击面认证Authentication环节薄弱典型攻击手段密码猜测、Token窃取如JWT、OAuth token劫持缓解措施实施强认证如复杂密码策略、密码定期轮换、部署多因素认证MFA例如短信验证码、TOTP时间型动态口令、硬件密钥FIDO2/WebAuthn等。MFA能显著提升账户安全性即使密码或Token被窃取攻击者仍难以绕过第二验证因子。此外建议结合其他纵深防御措施如登录异常检测IP/设备/行为分析、Token绑定设备与指纹、短期有效期刷新机制等。# 示例Python中使用pyotp生成TOTP供MFA后端参考importpyotp secretJBSWY3DPEHPK3PXP# Base32编码的密钥实际应安全存储totppyotp.TOTP(secret)print(Current OTP:,totp.now())# 每30秒更新一次仅依赖密码无法满足现代应用身份认证安全要求主要原因包括以下五方面密码易被猜测或暴力破解用户倾向使用弱密码如“123456”“password”、重复使用密码攻击者可通过字典攻击、彩虹表或自动化爆破工具快速突破。密码泄露风险高大量数据泄露事件如LinkedIn、Yahoo导致数十亿密码明文或哈希值外泄一旦某平台密码泄露攻击者常尝试“撞库攻击”Credential Stuffing在其他平台复用。缺乏抗钓鱼能力密码本身无法验证用户是否在合法网站输入——钓鱼页面可轻易诱骗用户提交账号密码而系统无法识别该会话是否真实。无上下文感知能力单一密码认证不考虑登录环境如异常地理位置、陌生设备、非工作时间无法动态评估风险并触发额外验证。管理与用户体验矛盾突出强密码策略长度、复杂度、定期更换反而导致用户书写在便签、浏览器自动保存、或频繁重置反而削弱安全性。因此现代安全标准如NIST SP 800-63B、GDPR、等保2.0明确要求静态密码应作为认证因子之一而非唯一凭证必须结合至少一种独立的第二因子如物理密钥、生物特征、一次性验证码实现真正的多因素认证MFA以达成“所知What you know 所有What you have/ 所是What you are”的纵深防御。