密码认证：最基础的防线
说到用户身份验证，大多数人第一反应就是输入用户名和密码。这种方式简单直接，几乎每个网站都在用。比如你登录邮箱、购物平台，甚至公司内部系统，基本都离不开密码。
但问题也明显：密码容易被猜中、被盗取，或者用户在多个平台重复使用同一组账号密码，一旦某个小网站泄露数据，其他重要账户也可能遭殃。
为缓解风险，很多服务开始强制要求复杂密码，定期更换，并配合其他手段增强安全性。
双因素认证（2FA）：多一道门更安全
光靠密码不够，那就再加一层。双因素认证就是“你知道的”加上“你有的”。比如，登录时除了输入密码，还得填一个手机App生成的6位动态码，像Google Authenticator或短信验证码。
你可能遇到过这种情况：换手机后重新绑定支付宝，系统让你输入当前设备上的验证码，这就是典型的2FA应用。即使别人偷了你的密码，没有你的手机，也进不了账户。
不过短信验证码有被劫持的风险，比如SIM卡被复制，所以现在更推荐基于时间的一次性密码（TOTP）方案。
import pyotp\n\n# 生成密钥\ntotp_secret = pyotp.random_base32()\nprint("密钥：", totp_secret)\n\n# 生成当前验证码\ntotp = pyotp.TOTP(totp_secret)\nprint("验证码：", totp.now())生物识别：指纹与人脸的时代
现在新手机基本都支持指纹解锁或人脸识别。这种“你是谁”的验证方式，体验流畅，按一下或看一眼就完成登录。
银行App、支付工具广泛采用生物识别，既方便又相对安全。毕竟复制一个人的指纹或面部特征，比盗密码难多了。
但也有局限，比如戴口罩影响人脸识别，手指脱皮导致指纹识别失败。而且一旦生物数据泄露，没法像密码那样“重置”，所以这类信息通常本地加密存储，不会上传服务器。
令牌与硬件密钥：高安全场景的选择
一些企业系统或开发者平台会使用U盾、YubiKey这类物理设备作为身份凭证。插入USB或轻触即可完成认证，常用于访问敏感数据或后台管理。
GitHub、Google等平台支持FIDO2标准的硬件密钥，能有效防御钓鱼攻击。因为密钥只对真实域名响应，伪造的登录页面拿不到合法认证结果。
虽然成本高、携带麻烦，但在金融、政府等高风险领域，这种“你拥有的”方式仍是首选。
无密码登录：未来的趋势
越来越多应用开始尝试彻底去掉密码。比如用微信扫码登录PC网页，本质是把手机当成可信设备来授权。
Windows Hello、Apple Watch解锁Mac，也是类似思路——利用已认证的设备自动完成身份确认。用户不用记密码，体验更好，也减少了密码相关的攻击面。
这类方式依赖设备安全性和绑定机制，一旦主设备丢失，必须及时解绑，否则存在被滥用风险。