如果想提升 passport 的 登录安全，有哪些可行的方案（先不考虑复杂的智能风控、AI之类的），可以从哪些方面提升安全性？为什么？
很好，这个问题非常“架构向”，而且你明确说了：先不搞复杂风控、不上 AI，只提升 Passport 登录安全本身，这正是打地基的阶段。
我们可以把「提升登录安全」理解为一句话：
让账号更不容易被撞、被盗、被冒用，即使出问题也能快速止血。
我给你按【可落地 + 可渐进】的方式，从多个维度拆开讲：做什么 + 为什么值得做。
一、认证凭证层：让“密码”更难被攻破
1. 强密码策略
做法：
- 最小长度 ≥ 8 / 12
- 必须包含：大小写 + 数字 + 特殊字符
- 禁止弱密码（123456、password、admin123）
为什么：
- 防止最基础的暴力破解和字典攻击
- 是所有安全体系的底层门槛
2. 密码加密增强（而不是普通 MD5）
做法：
- 使用 bcrypt / PBKDF2 / scrypt
- 每个用户独立 salt
- 增加迭代次数
为什么：
- 防止数据库泄露后被“反推出明文密码”
- 让彩虹表失效，破解成本指数级上升
3. 登录失败次数限制
做法：
- 连续输错 5 次 → 锁定 10 分钟
- 或账号临时冻结
为什么：
- 有效防止暴力破解
- 对撞库攻击极具杀伤力
二、请求层：让“攻击者”更难下手
4. 登录验证码 / 滑块验证
做法：
- 多次失败后才触发验证码
- 或异常 IP 强制验证码
为什么：
- 极大提高机器批量攻击成本
- 保留正常用户体验
5. 登录频率限制（Rate Limit）
做法：
- 单 IP 每分钟最多 5 次登录尝试
- 单账号每分钟登录限制
为什么：
- 防止暴力攻击集中打击一个账号
- 是防护网的重要一层
三、Session 层：防止“登录态被劫持”
6. Session 绑定设备特征
做法：
- Session 绑定 User-Agent + IP + 设备指纹
- 异常变更强制重新登录
为什么：
- 防止 Cookie / Token 被复制复用
- 阻止“会话劫持”
7. 设置合理的 Session 生命周期
做法：
- 普通用户：30分钟无操作过期
- 管理员：10分钟过期
- Token 定期刷新
为什么：
- 减少被盗 Session 的可利用时间窗口
8. 强制登出与会话管理
做法：
- 支持用户查看当前登录设备
- 一键踢掉其他设备
为什么：
- 防止账号被他人悄悄使用
- 提升用户安全感
四、账户安全增强（进阶但不算复杂）
9. 二次验证（2FA）
做法：
- 登录后输入短信 / 邮箱验证码
- 或 Google Authenticator
为什么：
- 即使密码泄露，也无法直接登录
- 这是质变级别的安全提升
建议： 可先对 管理员 / 高权限账号 开启。
10. 异常登录提醒
做法：
- 新设备登录通知邮件
- 异地登录提醒
为什么：
- 秒级感知异常，用户可以及时改密
五、密码生命周期管理
11. 强制周期修改密码
做法：
- 90天必须更换密码
- 新旧密码不可重复
为什么：
- 防止长期密码泄露未被发现
12. 重要操作二次确认
场景：
- 修改密码
- 修改手机号
- 修改邮箱
方式：
- 再次输入密码 + 验证码
六、运维与安全日志体系
13. 登录日志审计
记录：
- IP
- 终端
- 浏览器
- 登录结果
- 失败原因
为什么：
- 可用于溯源
- 支撑后续风险识别
14. 安全告警策略
如：
- 单账号短时间 10 次失败
- 同 IP 大量尝试多个账号
触发：
- 记录 + 告警 + 临时封禁
七、接口安全防护
15. 登录接口防重放
做法：
- 加 nonce + timestamp
- 校验签名
为什么：
- 防止攻击者抓包后重复请求
16. HTTPS + HSTS 强制
做法：
- 禁止 HTTP 登录
- 强制加密传输
为什么：
- 防止中间人窃听账号密码
八、从系统角度的安全分层总结
你可以理解为五层防护：
账号层 → 密码
接口层 → 请求控制
会话层 → Session安全
行为层 → 异常监测
管理层 → 审计与控制
如果画一个“安全金字塔”，优先级建议：
- ✅ 密码加密 + 强密码
- ✅ 登录失败限制 + 验证码
- ✅ Session 超时控制 + 设备绑定
- ✅ 登录日志 + 异常提醒
- ✅ 2FA + 多设备管理
九、可落地的 Passport 安全强化清单（推荐路线）
✅ 第一阶段（基础安全）
- 强密码策略
- 错误次数锁定
- Session 超时
- 登录日志
- HTTPS 强制
✅ 第二阶段（增强安全）
- 登录验证码策略化
- 异常登录提醒
- 多端 Session 管理
- IP 限流
✅ 第三阶段（高安全）
- 二次验证
- 登录设备识别
- 登录行为评分
十、为什么这些方案值得做？
总结一下本质原因：
| 方案 | 解决什么问题 |
|---|---|
| 锁定策略 | 暴力破解 |
| 验证码 | 自动化攻击 |
| Session控制 | 会话劫持 |
| 2FA | 密码泄露 |
| 日志审计 | 安全可追溯 |
| 异常提醒 | 快速止损 |
