security - 告诉用户用户名不存在不是不好的做法，例如http ://en. wikipedia.org

Question

关闭。这个问题是off-topic .它目前不接受答案。












想改进这个问题？ Update the question所以它是on-topic对于堆栈溢出。

9年前关闭。




Improve this question




我一直认为，每当您提供登录界面并且用户未提供有效凭据时，您永远不会确认哪个用户名和密码不正确，因为这可能有助于黑客攻击？

似乎 wikipedia.org违反此做法标准；

Answer 1

答案是针对具体情况的。

一方面，您拥有公共(public)用户名，例如在托管论坛(如 StackOverflow)的网站中，在您的示例中为 Wikipedia。在这个意义上，术语“公共(public)”用于表示它被用作所有人都可以看到的公共(public)标识符。在这些情况下，掩盖登录表单中存在或不存在用户名的事实是没有任何意义的——这些信息是公开的。无论是查看特定用户信息的页面，还是扫描网站上的每个页面，您都可以轻松列举出完整的用户列表(至少，那些做出贡献的用户)。

另一方面，您有私有(private)用户名，例如银行应用程序中使用的用户名。由于银行网站不会(或至少不应该)在其网站上向任何地方的任何人显示实际用户名 - 用户名纯粹用作网站标识符和身份验证工具。在这种情况下，发出诸如“您使用的用户名/密码组合无效”之类的警告是很有意义的。反对“您输入的用户名不存在。”。