如何检测用户是否从识别的计算机进行连接？

Question

在许多银行和投资网站上,该网站阻止用户从未识别的计算机登录,而无需先回答其他问题或激活该计算机.开发人员通常如何创建此功能？

例如,以下是当我从无法识别的计算机连接到我的帐户时Salesforce.com提供的消息:

我们试图从我们的一个应用程序中执行相同类型的操作,但不确定最好(也是最安全)的方法.

Answer 1

有许多可能的方法可以做到这一点，但通常它们会使用以下方法的组合：

• 您连接的 IP 范围
• 你的主机名
• 身份验证成功后，您的计算机上是否存在网站留下的 cookie
• 用户代理字符串

如果您与现有的受信任连接之一存在太多差异，则该计算机将被视为不受信任。“太多”的界限是安全性和便利性之间的权衡。