《社交網站界面設計（原書第2版）》——3.12 密碼的反模式

什麼是密碼的反模式呢？這為什麼值得一提呢？許多社交網站一直都在與“零狀态啟動”狀态做鬥争：使用者剛剛進入網站後沒有好友，網站可能會将使用者資料與從其他的網絡服務（例如，使用者的線上通訊錄）所擷取資料相比較，然後讓使用者在本站内頁找到他自己的好友。網站可能會要求使用者開放他們的各種線上通訊錄，這樣網站就能将通訊錄中的姓名、電子郵件位址與網站現有客戶進行比對，然後向新注冊使用者推薦一組已在該站注冊過的好友，以便讓新使用者快速建立起人際關系網。在其他情況下，網站會集合來自其他賬戶的資料并讓使用者連接配接賬戶，如圖3-23所示。

由于實作起來很容易，是以網站都會采用這種密碼反模式。問題是要實作這種互動，網站會要求使用者提供另一個服務的使用者名和密碼。許多網站會一次性地收集這些使用者資料，并承諾不會将使用者名和密碼用于其他用途，但是使用者無法相信網站的這一承諾，他們也無法獲知網站的主人真的沒有說謊。這麼做的最終目的就是讓使用者非常輕松愉快地找到他的好友并且能迅速融入網站的社交活動中。不幸的是，有許多釣魚網站和黑客建立看起來可信的網站或服務，但它們實際上是想搞到使用者的賬戶并有着“邪惡”的用途。此外，該做法違背了許多網站在使用者剛剛通路時向使用者承諾的服務條款。

密碼的反模式唆使使用者将自己的登入憑證甩給了一個陌生人，并且将使用者的登入憑證設定得更易通過網際網路來騙取。人們習慣了該做法後，就會不假思索地将自己的登入資訊送出給另一個新網站，以便換取一些很酷的應用權限。這對銀行資訊來說特别危險，因為洩露的登入憑證會從經濟上毀掉一個人。

另一種比較安全的變通做法是使用OAuth、OpenID或者Facebook、Twitter、雅虎和谷歌的身份連接配接API，通過正式授權來通路使用者在其他網站中的資料。

OAuth是“一個可以通過簡單而标準的方式，從桌面和網絡應用中擷取安全的API授權的開放協定”。也就是說，它是一種開放性技術，允許網站以安全的方式通路使用者資料，并且不需要使用者将使用者名和密碼灑向整個網際網路。實際上，資料歸第三方網站來儲存和控制，需要到第三方的網站上來通路這些資料。很多大型網際網路公司都同意支援OAuth，是以我們沒有理由保留這種反模式，實際上，這種反模式已經越來越難以找到了。

最終，使用者應該能夠通路自己的資料并且可以将自己的資料從一個網站帶到另一個網站——不論是他們的關系網還是他們的社交圖，或者是他們所貢獻的資料，例如照片或視訊。通過人際關系來提升使用者體驗的社交網站，應該采用安全的認證互動，這樣既能讓使用者通路他們的資料，又能讓使用者養成更好的上網習慣來保護他們的密碼安全。