魔法链接登录.

一种无密码登录流程,用户通过邮件或短信收到一次性 URL,点击后即可完成身份验证。 它属于网络安全的 身份与访问 分类。

一种无密码登录流程,用户通过邮件或短信收到一次性 URL,点击后即可完成身份验证。

魔法链接认证用一次性、可过期的 URL 取代密码环节,链接通过用户已经掌控的渠道(通常是工作邮箱或已验证的手机号)送达。链接内含短期签名令牌(常用 JWT 或不透明 nonce),应用验证后换取会话。Slack、Notion、Substack、Vercel 等 SaaS 产品都将其作为默认登录流程,因为它避免了密码复用和存储问题。NIST SP 800-63B 在通道足够独立时将其归类为带外认证器(AAL2)。风险包括链接被钓鱼、邮箱被接管和 AiTM 中继,缓解措施包括短 TTL、设备绑定、单次令牌,以及与 passkey 或设备信任检查结合。

针对 魔法链接登录 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 邮件魔法链接, 一次性链接登录, 无密码链接。