| 检查面 | 备用码、找回密码、设备信任、客服重置 |
|---|---|
| 方法 | 走查流程与状态机，核对每步是否要求第二因素 |
| 修复 | 关键流程统一要求第二因素并防重放 |
检查清单
检查清单
找回密码后是否恢复单因素会话
备用码是否单次有效、是否可枚举
“记住设备”有效期与撤销入口
敏感操作的二次验证是否可跳过（走查流程）以流程走查与状态分析为主，动态验证只在自有测试账号进行。
MFA 配置薄弱点检查
多因素认证的薄弱点常出现在：备用通道整段跳过验证、验证码重放、找回流程降级到单因素、禁用 MFA 缺乏二次确认。
易错点
- 只测主登录流程，漏掉找回与客服通道
- 把普通设备信任功能一律判为缺陷
数据来源与参考
- NIST SP 800-63B
- OWASP ASVS V2