每天早上打卡上班，打开公司内部系统时输入账号密码，这背后其实都离不开系统登录验证机制。你可能没注意，但这个过程决定了谁能进、谁不能进，是软件安全的第一道门。
最基础的用户名密码验证
最常见的登录方式就是输入用户名和密码。用户提交后，系统会把密码加密存储，比如用哈希算法处理。登录时比对的是加密后的值，而不是明文密码。这样即使数据库泄露，攻击者也难直接获取原始密码。
password_hash = hash('sha256', input_password);
if password_hash === stored_hash:
allow_login()
else:
deny_access()验证码防机器人
有时候输完密码还要点一下“我是不是人类”——这就是验证码。图形验证码、滑动拼图、短信验证码都是为了防止自动脚本暴力尝试密码。比如电商大促抢货时，没有验证码的话，黄牛脚本几秒就能清空库存。
双因素认证增强安全性
银行类App经常要求输完密码后再输入手机收到的验证码，或者用指纹确认。这种双因素认证（2FA）等于加了第二把锁。就算别人偷了你的密码，没手机也登不进去。现在很多邮箱和社交平台也都支持绑定身份验证器App，比如Google Authenticator，每30秒生成一个动态码。
Token机制让登录状态保持在线
登录成功后，系统不会每次操作都让你重新输密码。而是发一个临时通行证，叫Token。比如JWT（JSON Web Token），它包含用户信息和有效期，服务器每次请求都检查这个Token是否合法。就像游乐园的腕带，进门检一次，园区内玩什么项目都不用再刷身份证。
{
"user_id": 10086,
"exp": 1735689234,
"token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
}单点登录：一次登录，多个系统通行
大公司往往有十几个内部系统，不可能每个都登录一遍。这时候就用单点登录（SSO）。比如用微信登录第三方网站，本质就是腾讯帮你证明“这人确实是张三”。企业里常用OAuth或SAML协议实现，员工登录一次企业门户，再访问邮件、考勤、报销系统就不用再输密码了。
异常行为触发二次验证
如果你平时在北京登录，突然凌晨在越南IP尝试访问账户，系统立马警觉。有的平台会直接拦截，有的会发条短信问“是你本人吗？”这种基于行为分析的风险识别，已经成为主流安全策略。支付宝就经常在异地登录时要求人脸识别，宁可麻烦一点，也不能让账户被盗。