登录的时候为什么基本都需要用户名？

如果减少输入，为什么不一个框输入2次。

先输入username 回车
然后提示输入 pwd 再回车。

输错了？

错了就再输呗。

@18000rpm

反着来啊！

前端还是用户名和密码

后端用 用户名|密码 进行 hash 保存

想法很好，不过使用用户名，密码，比较符合人类的习惯，因为习惯上，用户名和密码功能是不一样的，一个是身份识别，一个是身份验证。用户名表明你是谁，密码证明你是谁。

我只说一点，更短的东西有利于记忆。如果考虑密码包含用户身份的话。
如果只是一个token的话，那就必须考虑碰撞，如果考虑碰撞，那么这个token必定不利于记忆。

如果返回一个唯一随机密码，那么就是说让用户去记住一个随机密码？或者说让每个用户都用lastpass? too yong too simple

现在用第三方登录比较安全,但是还有个缺点,万一第三方突然把你登录的接口关了,就over了~~
记得以前有个网站,用的新浪的登录接口,直接登录
然后新浪就关闭这个网站的接口,据说丢失了几万的用户~~~

@lavadore
用户体验上的好处确实有待商榷。

我主要是想喷前面那些说降低了破解难度的人。
如果 LZ 的意思是登陆功能形式上只用一个输入框，完全可以在逻辑上保留现有的“用户－密码”结构。看不出安全性上有什么不妥。

@18000rpm 楼主的原意是不需要用户名，楼上喷的也是针对这种情况。你说的场景就是把两筐合一，破解难度当然没有变化，但这不是楼主所表达的情景

@lavadore 确实我也感觉理解的不是一个意思 233

OAuth啊

我有一个疑问，比如说有好几个人的生日都是00年1月1号。然后这些人设置密码都是000101。现在我输入这个登陆，你说我登谁的

LZ 的问题在于想得太多，但书读的太少

为什么这个问题在「程序员」下！

请问该如何找回密码？ 当你这样一个密码而且你忘记了

内部系统可以用token，我们就是这么实现的，不过不适合需要人类记忆的场景。密码本来就是反人类的，期待生物识别技术和安全的完善，单因子验证一定会实现的。

@int64ago 如果密码足够长且足够复杂的话，被爆破的可能性几乎十分小，然而那种密码十分难记- -在这种情况下，用户必然用软件去记住密码，就像你说的 1password 等。也恰恰是在这种情况下，加上账户验证与否对普通用户来说是没有区别的，但是对于 hacker 来说多一道验证就多一道坎。

另外，你要实现密码的唯一性，不可能让用户自定义密码吧，最多也是用户申请更改密码，然后密码还是由你们的算法生成的，在一定程度上有算法被破解的可能，定期更换算法的同时用户也要定期更换密码才行，与此同时，你还得保证新算法产生的密码不能与数据库中存在的撞库。