| 渠道 | 登录报错、注册占用提示、找回密码响应 |
|---|---|
| 信号 | 文案差异、状态码差异、响应时间差 |
| 修复 | 统一提示文案与响应时间，敏感流程加限速 |
检查步骤
检查步骤
1. 用存在与不存在的账号各触发 5 次同类请求
2. 对比：状态码、响应文案、响应耗时
3. 在找回密码与注册流程重复验证
4. 记录差异点与账号样本构造方式（脱敏）枚举本身低危，但会助长撞库与钓鱼定向；修复以统一响应与限速为主。
账号枚举检查
登录/注册/找回流程的响应差异可被用来判断账号是否存在；核查文案、状态码与响应时间三方面的一致性。
易错点
- 用真实用户邮箱批量尝试，触碰隐私
- 只看文案忽略响应时间差异
数据来源与参考
- OWASP WSTG WSTG-IDNT-04
- CWE-204（Response Discrepancy）