告訴用戶用戶名不存在http://en.wikipedia.org

Question

我一直覺得，無論何時你提供一個登錄界面，並且用戶沒有提供有效的憑據，你永遠不會確認哪個用戶名和密碼不正確，因爲這可以幫助黑客攻擊？

看來wikipedia.org違背了這個標準的做法;

Answer 1

答案是具體案件。

一方面，您擁有公共用戶名，例如在託管論壇的網站中，例如StackOverflow，在您的示例中爲維基百科。從這個意義上說，「公共」一詞用來表示它被用作所有人都能看到的公共標識符。在這些情況下，掩蓋用戶名存在或不在登錄表單中這一事實沒有任何意義 - 這些信息是可公開訪問的。無論是查看特定用戶信息的頁面，還是通過掃描網站上的每個頁面 - 您都可以毫不費力地列舉出完整的用戶列表（至少是那些貢獻過的用戶）。

另一方面，您有私人用戶名，例如在銀行應用程序中使用的用戶名。由於銀行網站不會（或者至少絕不應該）在他們的網站上向任何地方的任何人顯示實際的用戶名 - 用戶名純粹被用作網站標識符和驗證工具。在這種情況下，發出警告如「您使用的用戶名/密碼組合無效。」與「」相反，您輸入的用戶名不存在。「。