题干与适用场景
这道产品题考察如何把安全控制转化为分层体验。重点不是要求所有页面都再次登录，而是定义高价值动作、风险信号、认证强度、失败恢复和衡量方法。
面试官考察什么
- 是否能按资产价值和不可逆程度划分操作风险。
- 是否理解再认证、MFA、设备信任和风险信号各自解决的问题。
- 是否能处理无障碍、跨设备、企业 SSO 和账号恢复的边界。
- 是否能用安全、成功率、放弃率和支持工单共同评估效果。
回答前需要澄清的问题
先确认用户角色、租户权限、动作是否可撤销、数据敏感度、企业 IdP 能力、现有会话寿命、MFA 覆盖率和恢复渠道。还要问清楚威胁模型：主要防会话劫持、共享设备、内部误操作，还是高风险登录后的账户接管。
30 秒回答框架
我会先建立动作风险矩阵：导出全租户数据、修改 MFA、改变付款或删除租户属于高风险；查看报表属于低风险。高风险动作触发一次有时效的再认证，优先使用已有强认证或 WebAuthn，风险事件和新设备可提高要求。流程要有清晰原因、无障碍替代、受控恢复和审计记录。上线用分阶段实验评估高风险动作拦截、合法用户成功率、放弃率、接管事件和支持成本，而不是只看提示次数。
分步骤深入解答
1. 以动作而非页面定义风险
把动作按影响范围、可逆性、权限提升和数据敏感度评分。删除租户、导出个人数据、改变恢复因子和授予管理员权限应进入高风险集合；普通读取和可撤销偏好设置通常不需要同等级摩擦。风险矩阵应由产品、安全、法务和支持共同签字。
2. 选择认证强度与时效
高风险动作可以要求重新输入主凭证并完成 MFA，或使用具备抗钓鱼能力的 WebAuthn。再认证令牌应绑定用户、租户、动作范围和短时有效期，不能变成长期通行证。风险信号如新设备、异常地点或恢复流程完成后，应缩短时效或提高认证要求，而不是单独作为拒绝依据。
3. 设计可理解且可访问的体验
说明为什么需要再次验证、将保护什么以及验证完成后会发生什么。提供键盘操作、屏幕阅读器支持和不依赖单一生物特征的替代方式；企业 SSO 用户应能回到其 IdP。不要把安全原因写成暴露内部风险规则的错误信息，也不要让用户在重复失败后陷入无出口循环。
4. 规划恢复和异常分支
丢失 MFA 设备、跨设备审批、账号恢复和企业管理员协助都要有明确路径。恢复流程本身应被视为高风险动作，不能用更弱的备用问题绕过 step-up。每个分支都要记录原因、通知相关用户，并限制新恢复因子立即执行敏感动作的权限。
5. 把控制接入后端授权与审计
前端提示不能单独保护动作。服务端要校验会话中的再认证声明、动作和租户范围，防止重放到另一个 API。审计事件记录发起人、租户、动作、认证方式、风险信号摘要和结果；日志不应保存秘密或完整凭证。涉及敏感数据的服务通信仍要使用正确配置的 TLS。
6. 用分阶段发布验证安全与产品效果
先对内部租户和低比例高风险动作启用，观察认证成功、放弃、恢复、误拒绝和支持工单，再扩大范围。安全指标包括高风险动作被阻断、会话接管和异常恢复；体验指标包括完成时延、成功率和重复提示率。若风险下降但合法用户失败率上升，应调整动作分层、时效或恢复路径，而不是简单关闭控制。
高质量示范回答
我会先和安全、支持及企业管理员确认威胁模型，再按影响范围、不可逆程度、权限提升和数据敏感度给动作分级。导出全租户数据、修改 MFA、改变付款信息和删除租户进入高风险集合，查看报表保持低摩擦。高风险动作触发绑定用户、租户和动作范围的短时再认证，优先复用 WebAuthn 或企业 MFA；新设备、异常地点和刚完成恢复时提高要求。界面解释原因并支持键盘、屏幕阅读器和企业 IdP，恢复流程不允许用更弱因素绕过控制。服务端校验再认证声明并写入审计，前端不能单独授权。上线先做小范围分阶段发布，连续看高风险拦截、合法成功率、放弃率、接管事件和支持成本，再按数据调整动作矩阵和时效。
常见错误
- 所有页面都要求重新登录，导致用户绕过或关闭安全功能。
- 只在前端显示再认证弹窗，后端 API 不校验动作范围。
- 用短信或安全问题作为唯一高风险恢复方式，却没有说明威胁模型。
- 没有为企业 SSO、无障碍、跨设备和丢失 MFA 设备设计路径。
- 只看提示次数，不看接管事件、误拒绝、完成时延和支持成本。
- 把风险信号原样写入用户文案或审计日志，泄露内部检测细节。
追问及应对
什么时候可以只要求一次登录？
低风险、可撤销、影响范围小的读取或偏好设置可以复用当前会话。是否跳过 step-up 要由动作风险、会话状态和组织政策共同决定，不能用“用户已经登录”作为充分理由。
新设备一定要阻断敏感操作吗？
不一定。新设备是提高认证要求的信号，不等于恶意。可以要求更强的 MFA、通知租户管理员或缩短再认证时效，再根据误拒绝与接管数据调整。
如何避免再认证令牌被重放？
服务端把声明绑定到用户、租户、动作、资源和短时窗口，并在一次成功操作后消费或轮换。不能让一个“已验证”标记无条件授权所有敏感 API。
用户无法完成 MFA 时怎么办？
提供经过审核的恢复路径，例如企业管理员协助或备用强认证因素，并对恢复过程加审计、通知和冷却期。恢复本身不能直接绕过高风险动作保护。