我将在约一周后发布常规月度帖子。在此之前，想分享一件因近期两篇在线安全文章（《被激怒》和《您的密码安全吗？》）引发的趣事——关于“过度安全”的问题。
安全性的核心在于：安全的登录机制、密码恢复方式及用户身份验证。英国银行通常发放小型键盘设备生成6位随机一次性验证码，用于网银登录，这对资金保护而言合理且必要。然而，英国政府编程团队似乎过于“勤勉”。最近我收到一封介绍税收抵免在线申请新服务的信函，附有一个唯一的15位代码，申请时必须提供。
除该代码外，申请仅需回答四个“是/否”问题并输入总收入。网站不披露个人信息或财务细节，数据敏感度极低，理论上仅凭15位代码已足够保护。但我低估了那些程序员的“执着”。
为完成申请，流程如下：
- 首先需获取唯一用户名和密码，这需经历多重繁琐步骤并接收多封含不同确认码的信件（幸而我已有政府系统账号，得以跳过此步）；
- 使用用户名密码登录后，输入信函中的15位代码；
- 输入社会保障号码；
- 输入上一次税收抵免付款的确切金额；
- 输入银行账户最后四位数字；
- 等待政府发送含6位确认码的短信，并在10分钟内输入；
- 最后才填写四个“是/否”答案及总收入，流程方告结束。
对我而言，勾选选项邮寄回函显然更简单，明年我将采取这种方式。
商业网站虽未必如此极端，但道理明确：普通消费者在经历上述折磨时早已放弃。电商结账或登录流程切勿增加不必要的复杂性，应保持简洁明了，仅保留最基本、必需的安全检查。