security - 当用户输入错误密码时，哪种错误消息更好？

Question

已关闭。此问题不符合 Stack Overflow guidelines 。目前不接受答案。

---

这个问题似乎与 help center 中定义的范围内的编程无关。 .

去年关闭。

社区去年审查了是否重新开放此问题，并将其关闭:

原始关闭原因未解决

Improve this question

当用户输入错误密码时，从安全角度来看，以下两条错误消息有什么区别吗？

Wrong username or password.

Wrong password.

例如，当您在Gmail.com上输入错误的密码时，它会告诉您“您输入的用户名或密码不正确”。

是否出于安全原因考虑？我认为错误信息:“您输入的密码不正确”对用户来说更清楚，而且，很容易检查Gmail.com上是否存在用户名。 :只需点击“无法访问您的帐户？”并输入用户名。如果用户名不存在，它会告诉您。

Answer 1

这个想法是不向黑客提供额外的信息。如果您输入错误的密码，您就告诉黑客他们拥有正确的用户名，反之亦然。尽管您所说的是真的，但在某些网站上可以通过其他方式确定您是否猜测了用户名。