在Auth0，我们为应用程序构建者提供了实现身份验证和访问管理的工具，这样他们就可以专注于产品的独特性，而不是身份验证。我们的产品设计团队负责塑造开发人员在产品中实现Auth0的体验，并为客户的客户提供认证体验的设计。责任重大。我们的客户不仅依赖我们提供安全的身份验证，还依赖我们为他们的用户创造积极的体验。一个设计良好、无摩擦的注册体验可以对我们客户的转化率和用户对产品的满意度产生巨大影响。作为设计师，我们接受的训练是创建直观易用的流程，尽可能减少摩擦。但在认证体验方面，需要一定程度的摩擦才能确保安全性。密码、多因素身份验证、验证码和会话超时都会给身份验证过程带来摩擦，但这些摩擦会阻止不良行为者非法访问帐户。那么，我们如何平衡对安全性的需求和对无摩擦用户体验的渴望呢？好演员对坏演员平衡安全性和用户体验的一种方法是更好地预测哪些事务来自合法用户，哪些不是。如果我们能够合理准确地预测用户是合法的，我们就可以从他们的路径上消除很多摩擦。同样，如果我们预测用户的行为不是出于良好的意图，我们可以引入更多的摩擦来阻止他们的登录尝试。在Auth0，我们开发了几种预测合法登录的方法，以在不牺牲安全性的情况下改善用户体验。上下文多因素身份验证大多数精通安全的用户都知道，启用多因素身份验证（MFA）或双因素身份验证是保护在线帐户的最佳方法之一。2019年5月，谷歌报告称，启用多因素身份验证可以阻止高达100%的自动攻击、99%的批量钓鱼攻击和66%的目标攻击。但这种保护是以牺牲用户体验为代价的。向身份验证过程添加第二个因素会中断用户流。即使是一个简单的因素，比如一次性密码，也需要用户等待短信或电子邮件到达，更改应用程序，复制代码，然后返回原始应用程序并粘贴代码，然后返回原始流程。虽然移动操作系统在减少上下文切换的情况下更容易输入一次性密码，但它仍然扰乱了用户流。身份验证应用程序，如Authy和googleauthenticator，提供了更高级别的安全性，但对用户流的破坏性更大。如果您有多因素身份验证的保护而不给您带来不便，这不是很好吗？这就是Auth0上下文MFA特性背后的思想。上下文MFA使用特定的信号，例如您正在使用的设备、您的地理位置或您的IP来确定登录尝试是否合法的可能性。当该功能了解您的登录习惯时，它将学习预测哪些登录尝试是合法的，并且只有在置信度较低时才提示进行多因素身份验证。验证码CAPTCHA是一种完全自动化的公共图灵测试，用来区分计算机和人类，它要求用户证明自己是人，通常是通过在图像中输入一个或多个单词，或者通过识别一系列图像中的对象来证明自己是人，这有助于减少机器人的自动攻击。CAPTCHA可以是一个有效的工具来阻止许多自动攻击，但是，这种保护是以牺牲用户体验为代价的。与MFA一样，CAPTCHA会中断用户流，并要求用户破译难以阅读的文本或识别颗粒照片中的对象。如果你搞错了，你经常要重新开始整个过程。CAPTCHA还存在许多可访问性问题。有视觉障碍的用户可能根本无法解决验证码。有时音频验证码是一种替代方案，但对于听力有困难的用户来说，这可能不是一个可行的解决方案，他们处于嘈杂的环境中，或者他们的系统没有启用声音。这些额外的障碍可能足以阻止用户注册或登录应用程序。根据一项研究，在表单中添加验证码可以减少多达33%的转换率！在Auth0，我们努力确保客户的用户不必处理CAPTCHA。我们的自动攻击保护分析流量模式，以确定登录是由人类还是机器人发起的，只有在我们合理确定流量来自机器人时才需要验证码。与上下文MFA一样，合法用户的登录体验永远不会被中断。并非所有产品都有同等的安全保障帮助保护您的应用程序是Auth0的全部功能，但我们也知道某些应用程序需要比其他应用程序更安全。例如，与不存储敏感个人信息的产品相比，在线银行应用程序在认证体验方面应该有更多的摩擦。长期会议在Auth0，我们认识到，虽然访问敏感数据的应用程序在用户空闲几分钟后注销是很重要的，但我们的许多拥有较低风险产品的客户可能不希望用户这样做。例如，媒体公司经常发现用户每几周访问一次他们的网站。如果用户被要求进行身份验证，却记不住自己的密码，他们很可能会放弃网站。对于那些依赖广告收入的公司来说，这对他们的利润是一个巨大的打击。其他公司，如保险公司或公用事业公司，可能会有客户每月或每季度与他们的网站交互一次。用户在这么长时间后忘记密码是很常见的，这会导致客户服务电话增加，客户满意度降低。Auth0的长寿命会话特性解决了这些和其他类似的用例。我们的客户现在可以定制会话限制，最多100天不活动，最多一年，这取决于风险和用户体验的平衡。风险状况较低的客户可以通过延长会话长度来消除用户的摩擦，而风险状况较高的客户可以在较短的时间内自动注销用户。混淆是必要的邪恶设计一个好的用户体验的一部分是确保用户能够容易地理解正在发生的事情以及他们下一步的行动方向。不幸的是，有些时候，让我们的用户变得容易也会使他们处于危险之中。用户枚举你有没有试过登录到一个应用程序，却收到一条一般的"用户名或密码有问题"的错误消息？如果是这样的话，你很有可能诅咒了创建错误消息的设计者。什么样的次等用户体验设计师会设计出如此糟糕的体验？他们难道不熟悉Jakob-Nielsen列出的十种可用性启发法中的第九种吗？它明确指出"帮助用户识别、诊断并从错误中恢复？"更具体的错误消息，如"此用户名不存在"或"密码不正确"会更好…对吗？也许不是。虽然一条模糊的错误消息确实会让人恼火和沮丧，但它也可以帮助保护您。例如，如果应用程序的错误消息在用户名无效时为"this username does not exists"，而在用户名有效时为"incorrect password"，则攻击者可以编译应用程序的有效用户名列表。这些信息可以用于暴力攻击，例如字典攻击或凭证填充攻击。字典攻击是指黑客使用已知用户名与常用密码（如123456或passw0rd）相结合，试图侵入帐户。凭据填充攻击是指攻击者使用从一个服务上的数据泄露中获得的凭据来入侵另一个服务上的用户帐户。一旦恶意参与者拥有了您的用户名，使用复杂且唯一的密码有助于防止暴力攻击，但是模糊的错误消息会首先阻止他们验证您的用户名。结论在为最终用户提供积极的身份验证体验的同时保护世界的身份可能看起来是一项艰巨的任务，但并非不可能。我们的工程师在幕后努力工作，以确定尝试登录或注册是否合法，这样我们就可以对可疑登录实施验证码或多因素身份验证，同时为客户的用户保持身份验证过程的无障碍性和安全性。我们为客户提供根据其风险承受能力和用户需求定制用户体验的能力。虽然有时为了保证我们的客户和他们的用户的安全，牺牲理想的用户体验是必要的，但这是一种我们有意识的、经过大量考虑和合作的权衡。同时为用户体验和安全性进行设计是Auth0产品设计团队每天面临的一个难以平衡的问题。如果这似乎是你感兴趣的挑战，一定要查看我们的就业页面。Auth0文档在几分钟内实现身份验证OAuth2和OpenID连接：专业指南获取免费电子书！.灯箱{宽度：100%；身高