提示 “用户名密码不匹配” 还是 “用户名不存在” / “密码错误”;才意识到的设计思考
这记录的不是技术问题,而是设计上的考量。原来我以为提示“用户名密码不匹配”是程序员太懒,懒得去检测到底是不是不存在该用户名还是用户名对了密码没对。直到今天我才从django文档中得知:因为我在做密码重置功能的时候看到,email不存在的话,系统是不提示的,这样就能减少被攻击的可能性。如果你提示说该邮箱地址不存在,那么攻击者就能继续尝试。由此我才知道,为什么许多系统都是提示用户名...
原创
2018-10-25 14:11:44 ·
11649 阅读 ·
0 评论