“密码输入次数过多，登录已锁定！”，这种软件设定，合理吗？

软件的系统设计里有个我认为非常不科学的设定，那就是密码输入次数过多锁定登陆这个功能！并不是所有场景都适合这个设定，一般而言对于安全性要求比较高的系统，采取这种方式无可厚非，但是也需要采取一些容错解除的手段，比如说短信解除、人工解除等等。

为什么要限制输入错误次数？

这个系统设定的初衷其实就是防止黑客暴力破解！如果一个人的密码设定过于简单的话，可能很容易就被破解了！常见的简单密码形式为电话号码、生日、身份证后几位等等。只要是纯数字形式的密码，越容易被破解！所以，现在很多系统的密码设定的要求基本上都是带数字、下划线、大小写、字符的组合。但尽管这样，只要黑客有足够的耐心，他可以尝试无数种字符组合从而破解密码。我们这些程序员称这种暴力破解密码的方式为“穷举”，意思就是通过代码一次次地去试。

黑客的手段无非就是使用软件不停的循环组合字符，最短几秒就能破解掉一些简单的密码。因此，使用限制输入错误次数，能够很有效的避免黑客暴力破解密码。

典型例子

以前有个段子，说如果有人给了一个卡号要求您转账，在明知对方是骗子的情况下，你可以直接拿着这个卡号登录对方账号，故意输错密码，达到指定次数，这样对方的卡就被冻结了。

当然了，像这种对安全性要求比较高的地方，限制登录错误次数，然后锁定无可厚非。但是，一定要有开放解锁的地方。我曾经就遇到过连续输错三次密码，然后卡被锁定的情况，当时系统给了我两个选择，一个是等24小时，一个是去柜台办理解除限制。遇到这种情况，我不急用钱的情况下，我当然是选择等24小时！但是如果要去柜台，显然就比较麻烦了！甚至有些系统连柜台都没有权限解除限制。

按照现在的情况，人手一部手机，银行卡都是绑定手机号的，连续输错弄个短信验证码解除就行了，但是，这种方式在一些系统眼里看起来可能并不太算安全。

我们假设一个情况，假如一个人包丢了，里面正好有手机和银行卡还有身份证。此时，捡到包的人可能就开始拿着银行卡登录系统。于是他就开始猜密码，结果输入错误次数过多被锁定登录了，如果短信验证码解除可以的话，那么意味着捡到包的人有更多的机会去尝试登录。

有人会说人脸识别解除限制就可以了！这种方式虽然可行，但是大多数人都不会提前在系统里提前录入人脸信息，尤其是一些上了年纪的老年人。因此，人脸虽然可以，可覆盖范围却很有限。

这就是为什么很多银行知道限制登录麻烦，但是一定要限制登录的原因。

但不管怎么说，有限制就必须要有解除限制的合理的方法，否则就会给用户平添麻烦！密码输入错误次数限制的确很安全，但却很麻烦！

反面例子

前段时间，我们公司安装了一个智能门锁，带指纹识别的。当我的指纹被录入以后，过了一会儿，我尝试用我的指纹去打开智能门锁。

当我尝试了三次以后，智能门锁提示我连续输入错误三次指纹信息，系统被锁定，要我等90秒！见状，我立马叫来我们公司相关同事，询问是否有办法解除这种限制。

打开这个智能门锁的控制软件以后，我们发现，门锁安全设置里面有输入错误次数的设定，在里面可以设定触发系统锁定的密码输入错误次数，以及锁定的时间，并且，这些功能还有开关，却没有一个可以取消锁定的功能！

我想了想，还是让公司同事将这些功能给关闭了，我在想，如果有人故意输入错误的密码，让系统锁定，那么当我们想进公司的时候岂不是只能大眼瞪小眼？

虽然我也想不出一个最佳的够防止在既不锁定系统、又能保证门锁安全的方案，但是在方便和安全方面，我选择了方便！因为我们公司门口就有摄像头，公司又没有多少值钱的物件。

因此，安装门锁的目的只是为了不让人比较轻松得就进来！就像一些开锁的师傅一样，他能轻松打开别人家的防盗门，尽管这样，我还是相信我家的门！

结语

输入次数过多，登录被锁定，这个设置的出现，本身是为了防止他人“穷举”登录密码，从而盗取个人财产、信息的目的。但是，这个设定其实对于经常忘记密码的人来说，并不友好。

我们现在每个人都有非常多的互联网账号，可能每个互联网平台的账号和密码都是一样的，目的就是为了避免密码被忘记，给自己带来麻烦，但是这种行为又催生了另外一种结果，那就是可能一旦您某个互联网账号被盗，您可能就会被“一锅端”了！

好在，现在每个人都有手机，登录任何平台的时候只需要接收和输入验证码即可，因此“您的密码输入错误次数太多，登录被锁定”这种提示语，可能已经成为过去！