1、登錄安全說明
用戶登錄是電商網站整體業務邏輯中重要的一環，又是最容易受到攻擊的接口，所以確保登錄安全，是電商網站整體業務邏輯中的重點；
互聯網泄漏的帳號密碼量大約在1.5億，當登錄接口存在安全風險，撞庫，掃號，破解密碼等行爲不禁會影響服務器性能，還會對用戶造成極高的風險，重要業務會導致泄密事件的發生。
2、登錄邏輯安全
2.1、邏輯錯誤總結
經過對京東登陸點的梳理，總結出現邏輯錯誤的類型總結
1、登錄頁無驗證碼；
2、驗證碼存儲於cookie中；
3、正確的驗證碼存在於頁面隱藏域中，讀取隱藏域，即可得到驗證碼；
4、驗證碼與cookie值對應，當cookie值不變，驗證碼值不變
5、驗證碼更新由客戶端發起請求，客戶端不發起請求，驗證碼可無限制使用
6、驗證碼與帳號密碼不在同一接口驗證，導致驗證碼繞過
7、驗證碼以簡單變形形式存於cookie中（例：base64），解碼後可獲得驗證碼
2.2、正確的登錄邏輯
正確的登錄邏輯應該由以下條件組成：
1、用戶名密碼與驗證碼一起提交到登錄驗證接口；
2、驗證碼錯誤返回提示驗證碼錯誤信息，並後臺更新驗證碼
3、用戶名或密碼錯誤，模糊提示，用戶名或密碼錯誤，更新後端驗證碼
具體登錄邏輯圖如下：
2.3、特殊登錄點安全控制
對於特殊登錄點，例如ERP外部登錄，email登錄，vpn登錄，此類登錄需要如下安全控制方式中的種配合，才能確保安全；
例如email、vpn、erp等重要系統，帳號密碼一旦被破解，可能導致泄密，甚至危及內部網絡的安全，所以特殊登陸點需要以下安全防護措施：
1、驗證碼難度加強
2、更加嚴格的登錄策略
3、登錄成功後採用二次驗證，例如手機短信驗證
4、硬件ukey登錄
5、採用動態令牌保護