认证失效

认证失效涵盖任何能让攻击者绕过或破坏身份验证的缺陷,包括接受弱口令、缺少暴力破解防护、可预测或不过期的会话令牌、不安全的密码重置流程、缺失 MFA、JWT 签名问题以及明文存储凭据。它长期位列 OWASP Top 10,并是凭据填充和账户接管的基础。常见防御包括强制唯一强密码、MFA、限速与锁定、安全的口令存储(带盐的 Argon2/bcrypt)、短生命周期的签名会话令牌,以及经过审计的重置与找回流程。