网络安全中“身份欺骗（Spoofing）”威胁类型及其对应的安全控制措施：
- 威胁类别（S）：Spoofing（身份欺骗）
- 攻击面：认证（Authentication）环节薄弱
- 典型攻击手段：密码猜测、Token窃取（如JWT、OAuth token劫持）
- 缓解措施：实施强认证（如复杂密码策略、密码定期轮换）、部署多因素认证（MFA），例如短信验证码、TOTP（时间型动态口令）、硬件密钥（FIDO2/WebAuthn）等。
MFA能显著提升账户安全性，即使密码或Token被窃取，攻击者仍难以绕过第二验证因子。此外，建议结合其他纵深防御措施，如登录异常检测（IP/设备/行为分析）、Token绑定设备与指纹、短期有效期+刷新机制等。
# 示例：Python中使用pyotp生成TOTP（供MFA后端参考）importpyotp secret="JBSWY3DPEHPK3PXP"# Base32编码的密钥（实际应安全存储）totp=pyotp.TOTP(secret)print("Current OTP:",totp.now())# 每30秒更新一次仅依赖密码无法满足现代应用身份认证安全要求，主要原因包括以下五方面：
密码易被猜测或暴力破解：用户倾向使用弱密码（如“123456”“password”）、重复使用密码，攻击者可通过字典攻击、彩虹表或自动化爆破工具快速突破。
密码泄露风险高：大量数据泄露事件（如LinkedIn、Yahoo）导致数十亿密码明文或哈希值外泄；一旦某平台密码泄露，攻击者常尝试“撞库攻击”（Credential Stuffing）在其他平台复用。
缺乏抗钓鱼能力：密码本身无法验证用户是否在合法网站输入——钓鱼页面可轻易诱骗用户提交账号密码，而系统无法识别该会话是否真实。
无上下文感知能力：单一密码认证不考虑登录环境（如异常地理位置、陌生设备、非工作时间），无法动态评估风险并触发额外验证。
管理与用户体验矛盾突出：强密码策略（长度、复杂度、定期更换）反而导致用户书写在便签、浏览器自动保存、或频繁重置，反而削弱安全性。
因此，现代安全标准（如NIST SP 800-63B、GDPR、等保2.0）明确要求：静态密码应作为认证因子之一，而非唯一凭证；必须结合至少一种独立的第二因子（如物理密钥、生物特征、一次性验证码），实现真正的多因素认证（MFA），以达成“所知（What you know）+ 所有（What you have）/ 所是（What you are）”的纵深防御。