我觉得各个App/网站的安全部门都会有一些像是“祖宗之法不可变”但实际上毫无卵用的so called经验
每个网站莫名其妙的密码策略这里就暂且不提了因为确实会有人有不同的想法,但是我觉得至少可以做到一点,比如在输入密码时如果密码错误且输入的密码不符合设定密码时强制要求的密码策略时,给予用户以提示,而不是只有在密码设定阶段才提示
比如Apple禁止用户设定密码时使用三个及以上连续的数字,那么在用户登录时密码输入错误且发现用户输入的密码内使用了三个及以上连续数字时就可以予以提示,而且这个信息就算给了攻击者也没什么用,毕竟设定密码时已经公布了密码策略,你在这里藏着掖着没有任何作用
我已经不知道多少次遇到了,有的网站不让用特殊字符,有的只能用指定的特殊字符,有些不能有连续字符,导致每个网站都要单独记忆密码,而且很多时候密码输入错误并非真的忘记,而是忘了这个网站的密码策略,等到重置密码时才发现哦原来这个网站需要至少一个特殊字符时这才想起来密码是什么赶去登录
当然终极解决方案是使用密码管理器