风控安全
Passport 的“风控安全”才是它和普通登录模块真正拉开代际差距的地方。
我们可以把 Passport 的风控理解为：
👉 不仅判断“你是谁”，还判断“你是不是一个正常的人、正常的行为、正常的设备”。
下面给你系统拆解这个「风控安全」在 Passport 里到底包含什么。
一、什么是 Passport 的风控安全？
一句人话版定义：
Passport 风控 = 在登录、注册、访问过程中，实时评估风险，动态决定是否放行、拦截、升级验证。
它不是单一功能，而是一整套「安全决策系统」，目标是：
- 防撞库
- 防暴力破解
- 防机器人
- 防账号被盗
- 防接口滥用
- 防异常登录
UMS 只负责“人是谁”，Passport 还要判断“这个人是不是安全的”。
二、Passport 风控核心能力拆解
可以从 5 大维度理解：
1️⃣ 行为风控（行为异常识别）
关注：这个操作是不是“异常行为”？
典型规则：
| 场景 | 风控策略 |
|---|---|
| 同一账号1分钟内失败登录20次 | 自动锁定账号 |
| 同一IP批量尝试多个账号 | IP封禁 |
| 登录速度远超人类操作 | 判定为机器人 |
| 连续尝试弱密码 | 强制验证码 |
实现示例：
规则示例：
IF login_fail_count > 10 in 5 minutes
THEN block account 30 minutes
属于典型的：
- 频率控制
- 行为模式识别
- 攻击检测
2️⃣ 设备风控（设备指纹）
Passport 不只看账号密码，还看：
- 浏览器指纹
- 操作系统
- 屏幕分辨率
- 字体库
- IP + UA 组合
- 设备ID / cookie / localStorage
形成： ✅ 设备指纹 Device Fingerprint
用途：
- 首次登录新设备 → 风险提升
- 非常用设备 → 强制二次验证
- 可疑设备 → 限制访问
你可以理解为：
| 行为 | Passport 判断 |
|---|---|
| 常用手机登录 | 低风险 |
| 新设备登录 | 中风险 |
| 海外陌生设备 | 高风险 |
3️⃣ 地域风控（地理异常）
登录时对比：
- 上一次登录地点
- 当前登录地点
- 时间间隔
经典场景：
5分钟前在北京登录，现在在纽约登录
直接判定： ✅ 不可能移动 → 高危
策略：
- 强制验证码
- 强制短信验证
- 禁止登录
4️⃣ 动态验证策略（风险分级）
这点是 Passport 的灵魂：
不是简单的： 【要么通过，要么拒绝】
而是：
风险等级分层
| 风险等级 | 策略 |
|---|---|
| 低 | 正常放行 |
| 中 | 强制验证码 |
| 高 | MFA 二次认证 |
| 极高 | 拒绝登录 + 账号冻结 |
也就是所谓：
自适应认证（Adaptive Authentication）
你可能见过：
- 平时不用验证码
- 某天突然要求短信验证
就是这个机制。
5️⃣ 接口级防护
Passport 还会对接口本身加护：
| 技术 | 作用 |
|---|---|
| 请求签名 | 防止篡改 |
| 防重放 | 防止抓包重放 |
| nonce + timestamp | 阻止伪造请求 |
| IP 黑名单 | 防止攻击 |
| API 频控 | 防刷接口 |
这些是典型的： ✅ 登录接口安全 ✅ Token 接口安全 ✅ 刷接口风控
三、Passport 风控的典型完整流程
一个实际的登录流程会变成：
用户提交账号 + 密码
↓
Passport 风控引擎：
1. 判断 IP 风险
2. 判断设备是否可信
3. 判断行为是否异常
4. 计算风险分值
↓
风险级别判断：
低风险 → 直接登录
中风险 → 图形验证码
高风险 → 短信验证码
极高风险 → 拒绝
这不是“登录模块”，而是一个安全决策中心。
四、风控和 UMS 的核心区别总结
| 维度 | UMS | Passport |
|---|---|---|
| 判断身份 | ✅ | ✅ |
| 判断行为是否安全 | ❌ | ✅ |
| 判断设备可信度 | ❌ | ✅ |
| 判断登录风险 | ❌ | ✅ |
| 动态安全策略 | ❌ | ✅ |
一句话总结：
UMS 只管身份，Passport 管“身份 + 风险 +安全态势”。
五、技术实现层级（方便你架构设计）
如果你要自己设计 Passport 风控，可以分层：
1. 风控规则层
- 规则引擎
- 风险评分模型
2. 风控检测层
- IP 风险检测
- 行为频控
- 设备指纹识别
- 地域检测
3. 决策层
- 风险分级
- 策略匹配
4. 执行层
- 冻结账号
- 要求验证码
- 强制 MFA
- 拒绝请求
结构示意：
登录请求
↓
风控检测模块
↓
风险评分引擎
↓
安全策略决策
↓
放行 / 验证 / 拦截
六、如果你要做企业级 Passport，建议包含：
✅ 风控日志中心 ✅ 风控规则配置后台 ✅ 登录行为分析 ✅ 安全策略管理 ✅ 设备管理模块 ✅ 登录态异常预警
这已经属于： 👉 企业级安全中台范畴
七、总结一句话版本
Passport 的「风控安全」本质是：
通过行为、设备、地域、频率等多维数据，判断用户操作是否可信，并动态决定认证强度，构建“主动防御系统”，而不是被动验证密码。
