bilibili 账号改密码竟然要求输入当前密码

2018 年 10 月 26 日
 ericgui

已经通过手机验证了，输入了正确的验证码了， 那么，请问，是不是就应该直接填写新密码并确认一次新密码即可呢？

竟然要求填写当前密码，我正是因为忘记密码才要求改的啊。。。。。。

幸亏我试了好几次，终于想起来老密码。。。。

而且，尼玛，我的生日是 10 号，手机 app 里是 10 号，网页上是 9 号，一改，这网页就卡住了。。。。。

18400 次点击
所在节点    全球工单系统
118 条回复
Tink
2018 年 10 月 26 日
@passerbytiny #17 验证手机说明不了问题
v2sir
2018 年 10 月 26 日
如果 69 楼的流程是正确的话， 我就明白楼主睡说的了。
其实还是楼主开始没讲明白
pandasoda
2018 年 10 月 26 日
https://v2ex.ih06.com/t/480715 之前就遇到过 一个更改密码 一个是重置密码
zcjfesky
2018 年 10 月 26 日
b 站老用户估计能理解的，当年 b 站改密码只需要原密码，后来手机验证流行了之后在原有流程上加入了新环节，就变成了原密码＋验证码

而忘记密码是从一开始就设计成 通过问题 /密保联系方式获得用户验证 ->直接修改密码 的流程，所以不存在添加补丁的问题

这个问题是一个系统升级的模式问题，一直通过补丁来升级往上叠罗汉的结局就是这样
zyqf
2018 年 10 月 26 日
@passerbytiny 当黑客获取到你的 Cookie 就可以直接改密码了。如果你觉得这件事情概率很小，但你离开电脑做，心怀不轨的路人甲乘你登录时候还是可以修改密码。

所以修改密码必须要验证当前登录者必须是账号所属者。
tia
2018 年 10 月 26 日
@zyqf #85 反正一群人不懂这个道理
crysislinux
2018 年 10 月 27 日
@passerbytiny 挺你一波。你的意思明显是直接登出重置密码只需要手机。已经登录了反而除了手机之外还要密码。。那些说安全性的，人家捡了你的手机直接登出重置密码不就行了，还要啥子原密码。
auzeonfung
2018 年 10 月 27 日
我觉得楼主说得没错啊？
楼上一群嘲讽的，个个咬牙切齿的，让我不禁怀疑是不是 B 站的产品开的小号。
还有人说什么“那个人我早就 b 了”，逼真精神胜利，我都笑出声了。
这明显就是 b 站修改密码的流程有问题。
原来的修改密码估计是没有验证手机这一步的，后来加上了，验证原密码的这一步就应该去掉。
有人说这样更安全…这不是搞笑吗？直接登出走忘记密码的流程不是一样可以重置密码？？验证原密码毫无意义。
cyspy
2018 年 10 月 27 日
B 站手机还是以前的，销号了之后就完全没法改了必须要接收老短信，不知道现在怎么样
ericgui
2018 年 10 月 27 日
@auzeonfung 感谢。
chinvo
2018 年 10 月 27 日
挺楼主
就像 @no1xsyzy #47 说的，
修改密码要避免密码泄漏的情况下被恶意修改的道理大家都懂，
但是让人震惊的是重设密码竟然比修改密码需要验证的内容少，
只需要用户名或手机号 加上 手机验证码，明显比修改密码需要用户名（要先登录）、原密码、手机验证码要少，
某些嘲讽别人逻辑弱智的人是真的逻辑混乱
liuzuo
2018 年 10 月 27 日
请不要将找回密码和修改密码混为一谈！！！！！
修改密码一定要验证你是你，网站在不验证其他信息的情况下只有一种方法：密码，所以修改密码一定要验证原密码；
假定如果在手机号更换的情况，你拿到的新手机号之前如果注册过网站用户，如果修改密码不需要密码你觉得会如何？结果就是你找回的是别人的账户。
因此现在找回密码系统设计的时候，首先要验证手机号，然后还一定要验证实名信息，如果相匹配是找回密码，否则就是重建账户。
ucanuup
2018 年 10 月 27 日
楼主说的没错啊，B 站这个改密码的流程就是有问题。
修改密码：验证手机号 并且 原密码。
重置密码：验证手机号
这样子，修改密码根本没有存在的必要。
楼上一群人根本不知道楼主说的什么。自己去试一下就知道了。
imn1
2018 年 10 月 27 日
首先确定一点：产品设计有问题
主要问题不在于是否鉴权，而是在于流程

合理的流程是
修改密码
1.先问现在密码
2.提权鉴定
3.新密码

忘记密码
1.曾用密码（这个需要数据库另外设计，保留历史）
2.不能记忆曾用密码的，换一种低权限问法
3.提权鉴定
4.新密码

两种都是基于两次 /多重验证，比较重要是多设备的思想
就是登入设备相关内容询问一次，鉴权设备再问一次

LZ 的情况在于站点提权后，才问低权限（登入设备相关）问题，流程不对，客户体验糟糕
如果忘记密码没有问登入设备相关内容，直接用鉴权设备就可以换密码，也是有问题的
wolfie
2018 年 10 月 27 日
都不赞同你，也不至于攻击所有产品经理。。。
lzvezr
2018 年 10 月 27 日
试了一下手机 app，确实如此，修改密码既要手机验证又要原密码，而重置只需要手机验证
ryan18
2018 年 10 月 27 日
日常生活中太常见的一个情况就是你人走开，电脑开着已经登录了。这时候别人可以操作你电脑，也就罢了，还可以修改密码什么的，岂非弄成麻烦？所以大多数网站对修改密码这类操作是要求二次验证的，正常操作，并非 b 站独有
SuperMild
2018 年 10 月 27 日
1.楼主一开始说得不是很清楚
2.由于重置密码的常见流程，很多人先入为主没有细看楼主说的问题

这两点导致这楼讨论有点乱。

现在很多网站重置密码、忘记密码之类的流程，最大的问题是给手机短信太大权限了。

不管哪个环节都让手机短信插一手，同时又给手机短信最大权限，导致用户发现：“哦，原来搞来搞去，只要手机短信就能获得最大权限，原来那些旧流程只剩下个空架子了！”
7vps
2018 年 10 月 27 日
这波操作很骚，爸爸给你 99 分，少一分怕你骄傲。
niceworld
2018 年 10 月 27 日
我觉得没问题啊，虽然你结果一样但是开始的状态和中间的操作逻辑不一样。
现在很多场景是不需要每次都要登陆的，这就造成就大多数时候你是登陆状态，不能保证修改密码的是你本人，这个时候修改密码他要验证一下是不是本人。
忘记密码是没有登陆，验证一下本人就🆗了

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/501359

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX