| 检查点 | 阈值与窗口、锁定与解锁、告警 |
|---|---|
| 验证 | 测试账号触发阈值（低频） |
| 平衡 | 防爆破与可用性、防误伤 |
验证步骤
验证步骤
1. 用测试账号连续失败登录，记录触发值与提示
2. 观察锁定后的行为（拒绝/延迟/验证码升级）
3. 核对安全日志与告警是否产生
4. 验证解锁流程（自助/管理员）是否可控只使用测试账号；对真实账号的任何尝试都会造成锁定影响。
登录锁定与失败处置检查
登录失败处置策略核查：阈值、观察窗口、锁定时长、解锁流程、告警联动与误伤控制。
易错点
- 用真实账号触发锁定，影响正常业务
- 只测 Web 登录，漏掉 API 与移动端认证入口
数据来源与参考
- NIST SP 800-63B（限速与锁定）
- CIS Benchmarks（账户策略类）