月度归档:2024年12月

分页的秘密:OFFSET 性能问题与游标分页

在我们日常使用的网站或应用中,无论是浏览电商商品列表、滚动社交媒体动态,还是搜索引擎上一页一页查找结果,分页无处不在。它看似简单,一页接着一页展示数据,但在背后,却隐藏着不少技术的「秘密」。

分页处理得好,用户只会觉得流畅自然;但如果处理不好,页面加载迟缓、数据重复、甚至直接超时,崩溃,都会让用户体验大打折扣。而在应用架构过程中,分页更是一个绕不开的话题,尤其当涉及到海量数据 时,分页的实现方式会直接影响到系统的性能和效率。

OFFSET 性能问题 就是分页中最常见的「瓶颈」。它的核心问题在于,当数据规模变大时,传统分页方式的查询速度会急剧下降,甚至拖垮整个数据库。幸运的是,我们有解决方案:游标分页

那么,为什么 OFFSET 性能会变差?游标分页又是如何解决这些问题的?今天,我们从分页开始,聊一下分页逻辑。

1. 分页是什么

分页是一个很常见的逻辑,也是大部分程序员入门的时候首先会掌握的一个通用的实现逻辑。

分页是一种将大量数据分成多个小部分(页面)进行逐步加载和显示的技术方法。它是一种数据分割和展示的策略,常用于需要显示大量数据的场景,既能提升用户体验,又能改善系统性能。

分页通常通过将数据按照固定的条目数分隔成多个页面,用户可以通过分页导航(如“上一页”、“下一页”、“跳转到第 N 页”等)浏览数据的不同部分。

2. 分页的作用

分页的主要作用包括以下几点:

  1. 提升用户体验

    • 避免让用户一次性加载和浏览大量数据,从而减少信息过载。
    • 通过分页导航(如页码按钮、上一页/下一页),让用户能够快速定位到感兴趣的数据。
  2. 优化页面性能

    • 限制页面加载的数据量,减少服务器和浏览器的资源消耗。
    • 减少前端页面渲染的压力,提高页面加载速度和响应速度。
  3. 降低后端和数据库压力

    • 分页可以限制一次性查询的数据量,避免对数据库产生过高的查询负载。
    • 避免将所有数据发送到前端,减少网络的传输压力。
  4. 便于数据管理

    • 在管理系统中,分页能够让管理员方便地查看、筛选和操作特定范围内的数据。

3. 分页的实现方式

分页的实现方式常见的是两种,传统分页和游标分页,根据应用场景和需求,选择合适的方案可以有效提升系统性能和用户体验。

3.1 OFFSET 分页(传统分页)

传统分页,也称为基于 OFFSET 的分页,是最常见的一种分页方式。其核心思想是通过页码和偏移量(OFFSET)来定位查询结果的起始记录,并限定每次查询的记录数量(LIMIT)。这种方式通常与 SQL 的 LIMIT 和 OFFSET 关键字结合使用。

传统分页的主要逻辑是根据用户请求的页码计算出需要跳过的记录数(OFFSET = (page – 1) * pageSize),然后查询从偏移量开始的指定数量的记录。

原理

OFFSET 分页是最常见也是最简单的分页方式。它通过指定查询的起始位置和每页记录数,从数据库中获取相应的数据。例如,在 SQL 中可以通过LIMIT 和OFFSET 实现:

SELECT * 
FROM table_name
ORDER BY id
LIMIT 10 OFFSET 20;
  • LIMIT 10:表示每页显示 10 条记录。
  • OFFSET 20:表示跳过前 20 条记录(即从第 21 条开始)。

优点

  1. 实现简单

    • 逻辑清晰直观,基于LIMIT 和OFFSET 的 SQL 查询几乎所有数据库都支持。
    • 开发和维护成本低,适合快速实现分页功能。
  2. 支持随机跳页

     SELECT * 
    FROMusers
    ORDERBYidASC
    LIMIT10OFFSET990;
    
    • 用户可以通过指定页码直接跳转到任意页,而无需逐页加载。例如,直接查询第 100 页的数据:
  3. 适用范围广

    • 适合小规模或中等规模的数据分页场景,尤其是在数据集较小且性能要求不高时。

缺点

  1. 性能问题

     SELECT * 
    FROMusers
    ORDERBYidASC
    LIMIT10OFFSET100000;
    

    在这种情况下,数据库需要先扫描 100,000 条记录后,才能返回第 100,001 条到第 100,010 条记录。扫描的记录越多,查询耗时越长。

    • 当数据量很大时,OFFSET 会导致查询性能下降,因为数据库需要扫描并跳过OFFSET 指定的记录,即使这些记录不会返回。
      例如:
  2. 数据一致性问题

    • 重复记录:如果在第一页和第二页之间插入了一条新记录,第二页可能会重复显示第一页的最后一条记录。
    • 记录丢失:如果在分页过程中删除了某些记录,可能会导致某些记录被跳过。
    • 如果在分页过程中数据发生变化(如插入或删除记录),可能会导致分页结果出现重复记录或跳过记录的情况。例如:
  3. 不适合实时更新的场景

    • 当数据集频繁增删时,传统分页难以保证结果的准确性。
  4. 消耗资源

    • 每次分页查询都需要数据库执行完整的排序和偏移操作,对资源消耗较大,尤其在大数据集或深分页(偏移量很大)时问题更加明显。这种我们一般称之为深分页

适用场景

适合小规模数据分页,或者数据更新不频繁的场景,如展示固定的商品列表或博客文章。

3.2 Keyset 分页(游标分页)

Keyset Pagination,也称为基于键的分页或游标分页,是一种高效的分页技术,用于解决传统分页方法(基于 OFFSET 和 LIMIT)在处理大数据集时的性能瓶颈问题。相较于传统分页,Keyset Pagination 不依赖页码或偏移量,而是通过上一页的最后一条记录的标识符(通常是主键或唯一索引)来标记分页的起始点,从而实现更高效、更稳定的分页。

原理

游标分页是一种基于游标的分页方式,通过使用上一页的最后一条记录的标识(如主键或时间戳)来确定下一页的数据,而不是依赖 OFFSET。

示例查询:

SELECT * 
FROM table_name
WHERE id > 100
ORDER BY id
LIMIT 10;
  • id > 100:表示从上一页最后一条记录的主键(id=100)之后开始查询。
  • LIMIT 10:每次获取 10 条记录。

优点

  • 性能优越:避免了 OFFSET 扫描的性能问题,查询直接从指定游标位置开始。
  • 数据一致性:即使数据在分页过程中发生变化,也能保证数据不会重复或丢失。

缺点

  • 跳页困难:无法直接跳转到第 N 页,需要依赖前置页的上下文。
  • 依赖排序字段:通常需要全局唯一且连续的排序字段(如主键或时间戳)。

适用场景

适合处理海量数据或数据频繁更新的场景,如社交媒体动态流、消息列表、AIGC 的推荐图片流等。

聊完了常见的两种分页,再聊一下 OFFSET 为什么会慢。

4. OFFSET 为什么会慢

以 MySQL 为例。

LIMIT ... OFFSET ... 是一种常用的分页查询方式,但随着OFFSET 值的增大,这种方式会带来严重的性能问题。其核心原因在于MySQL 的查询执行机制 和数据的存储与读取方式

在执行LIMIT ... OFFSET ... 查询时,MySQL 的行为是扫描并跳过 OFFSET 指定的记录,即使这些记录不会返回到客户端,但是数据库仍然需要从磁盘读取记录,排序……

这不是执行问题,而是 OFFSET 设计方式:

…the rows are first sorted according to the <order by clause> and then limited by dropping the number of rows specified in the <result offset clause> from the beginning…

SQL:2016, Part 2, §4.15.3 Derived tables

翻译过来:……记录会首先根据 ORDER BY 子句 进行排序,然后通过丢弃从开头开始的 OFFSET 子句指定数量的行来限制结果……

4.1 OFFSET 执行过程

比如下面的例子:

SELECT * 
FROM t1 
ORDER BY id ASC 
LIMIT 100000020;

其执行过程如下:

  1. 全表扫描或索引扫描:

    • MySQL 根据ORDER BY id 对记录进行排序。即使只需要第 1000001 条到第 1000020 条记录,也必须先按查询条件读出前 100 万条记录。
    • 如果有索引(如主键索引id),MySQL 会利用索引扫描;如果没有索引,则会进行全表扫描。
  2. 跳过 OFFSET 记录:

    • MySQL 遍历查询结果集,并逐条丢弃前 100 万条记录(OFFSET 1000000)。
    • 这种「丢弃」并不是直接跳过,而是逐行读取,然后丢弃,直到到达第 1000001 条记录。
  3. 读取目标记录:

    • 到达第 1000001 条记录后,MySQL 开始读取接下来的 20 条数据(LIMIT 20),作为最终结果返回。

4.2 OFFSET 性能问题的根本原因

(1)扫描和跳过造成资源浪费

即使客户端只需要一小部分数据(例如 20 条),MySQL 在执行查询时,仍然需要扫描和处理大量的记录(前 100 万条)。这会带来以下问题:

  • 耗费磁盘 I/O:
    MySQL 需要从磁盘读取未返回的记录,即使这些记录最终会被丢弃。
  • 浪费内存和 CPU:
    MySQL 扫描的所有记录会被加载到内存中,排序和过滤操作会消耗 CPU 资源。对于深分页(OFFSET 值很大)的查询,这种浪费会随着页码的增加而成倍增长。

(2)无法直接利用索引跳过记录

即使排序字段有索引(如主键索引id),MySQL 仍然需要逐条扫描记录,跳过 OFFSET 指定的记录。原因是:

  • 索引扫描的局限性: MySQL 的索引只能用来快速定位起始记录(例如id > 1000000 的情况),但在 OFFSET 查询中,MySQL 并不知道目标记录的具体位置,只能通过逐条遍历的方式来跳过。
  • 无指针跳转机制: MySQL 的存储引擎(如 InnoDB)在处理 OFFSET 查询时,不会直接跳过指定数量的记录,而是逐行读取和计数,直到到达目标记录。

(3)排序带来的额外开销

在使用ORDER BY 的情况下,MySQL 必须先对所有数据进行排序,然后再从中挑选目标记录:

  • 如果排序字段没有索引,MySQL 会将数据加载到内存或临时表中,并在内存中完成排序(可能会涉及磁盘写入)。
  • 如果排序字段有索引,MySQL 会利用索引加速排序,但仍需遍历和丢弃 OFFSET 指定的记录,资源浪费依然存在。

(4)深分页数据量巨大

OFFSET 值较小时,MySQL 需要跳过的记录量较少,性能影响不明显。但随着OFFSET 值的增大,MySQL 需要扫描和丢弃的记录数呈线性增长,最终导致性能急剧下降。

4.3 OFFSET 性能问题的典型场景

(1)数据量庞大时的深分页

当表中的数据量达到百万级别时,深分页(如OFFSET 1000000)会导致查询性能显著下降。原因是 MySQL 在扫描前 100 万条记录时,消耗了大量的磁盘 I/O 和 CPU 资源。

(2)查询结果动态变化

分页查询的同时,数据可能在不断更新(如新增或删除记录)。这种情况下:

  • MySQL 仍然会按照 OFFSET 值从头扫描,导致性能下降。
  • 数据的插入或删除可能导致分页结果重复或遗漏。

(3)排序字段没有索引

如果ORDER BY 的字段没有索引,MySQL 需要对全表数据进行排序,并将排序结果存储在临时表中。排序操作会进一步加剧性能问题。

4.4 如何解决 OFFSET 性能问题?

  1. 使用游标分页(Keyset Pagination)
    通过记录上一页的最后一条记录的唯一标识符(如主键id)来定位下一页的起点,避免扫描和跳过无关记录:
   SELECT * 
   FROM t1 
   WHERE id > #{last_id} 
   ORDER BY id ASC 
   LIMIT 20;
  • 优势:直接定位目标记录,性能与OFFSET 无关。
  • 适用场景:连续分页(如滑动加载)。
  1. 限制深分页范围
    限制用户只能跳转到前后一段范围内的页码,避免深分页。

  2. 子查询优化
    使用子查询提取主键范围,然后通过主键关联查询:

   SELECT * 
   FROM t1 
   JOIN (
       SELECT id 
       FROM t1 
       ORDER BY id ASC 
       LIMIT 100000020
   ) x USING (id);
  • 优势:减少排序和回表操作的开销。
  1. 合理设计索引
    对常用的查询字段和排序字段添加索引,最大化利用 MySQL 的索引能力。

除以上的 4 种以外,还可以考虑倒序分页,延迟关联、分区表优化或业务逻辑分流等方案。

OFFSET 的性能问题,归根结底是因为 MySQL 的查询执行机制无法直接跳过指定数量的记录,只能通过逐条扫描和丢弃的方式实现。这种机制在深分页时会导致严重的资源浪费。通过优化查询方式(如游标分页或子查询),可以显著减少无关记录的扫描量,从而提高查询性能。

5. 小结

分页是日常开发中非常常见的功能,但在数据量上来后,分页可能成为隐藏的性能杀手。传统的 OFFSET 分页尽管实现简单,但却无法避免扫描和跳过大量无用记录的性能瓶颈,尤其在处理海量数据时。这种情况下,优化分页逻辑显得尤为重要。

通过引入游标分页、子查询优化、分区表设计等技术手段,并结合业务逻辑上的调整,几乎可以解决大部分分页场景的性能问题。在实际开发中,应根据业务特点和数据规模选择合适的优化方案,实现性能和用户体验的平衡。

分页的优化,不仅是一项技术能力,更是对业务场景理解的体现。希望通过本文的分析和总结,能帮助开发者更好地应对深分页的挑战,写出高效、稳健的分页逻辑!

以上。

难,到底是什么?

难,到底是什么?

经常听到人们说,难啊,好难啊。然而,每个人口中的「难」,似乎都有不同的含义。

有人觉得生活难,因为每天的柴米油盐不断压迫着他们的肩膀;

有人觉得工作难,因为职场的竞争和压力让他们喘不过气;

还有人觉得感情难,因为人心复杂,爱与被爱都充满了矛盾与挣扎。

那么,难到底是什么?为什么我们会觉得难?难又难在哪里?

难,是与期望的落差

很多时候,我们觉得「难」,并不是因为事情本身有多复杂,而是因为现实与我们期望之间存在巨大的落差。

小时候,我们可能以为长大是一件很美好的事情——自由、独立、无拘无束。可真到长大以后才发现,自由是有代价的,独立意味着需要承担责任,而无拘无束不过是一种短暂的幻觉。

于是,生活开始变得「难」了。

比如,刚毕业的年轻人,满怀信心地步入社会,以为凭借自己的能力与努力,能够快速实现梦想。然而,现实却给了他们一记重拳:找工作的时候屡屡碰壁,入职后发现工作并没有想象中那么有趣,工资也无法支撑自己想要的生活。

这时候,「难」的感受就开始浮现了。

他们的期望是光明的,但现实却是灰色的。这种落差让人感到挫败,让人觉得难以承受。

难,是对未知的恐惧

人类天生对未知充满恐惧,这是我们的本能,也是我们的弱点。

面对不确定的未来,我们总会感到焦虑和不安,不知道接下来会发生什么,不知道我们是否能够应对。

这种不确定性,常常是让人感到「难」的一个重要原因。

比如,当你失去了工作,你会觉得难。难在哪里呢?

不是因为你不能短时间内找到一份工作,而是因为你不知道什么时候才能找到下一份合适的工作,你不知道未来的生活会变成什么样。未知让你感到迷茫,而这种迷茫就是「难」的来源之一。

再比如,感情中的「难」。很多人觉得维持一段长期的亲密关系很难,因为人是会变的。今天的爱可能会变成明天的冷漠,今天的承诺可能会变成明天的谎言。你不知道对方是否会一直陪伴你,你也不知道自己是否能一直坚持下去。

未知让人恐惧,恐惧让人觉得「难」。

难,是对自己的怀疑

还有一种「难」,源于我们对自己的怀疑。

这个世界对每个人的要求似乎都很高,我们必须聪明、勤奋、有能力、有责任心,同时还要积极乐观、情绪稳定、社交能力强。

可是,谁能做到完美呢?

当我们发现自己无法达到这些标准的时候,内心就会产生一种深深的自我怀疑:我是不是不够好?我是不是不够聪明、不够努力?我是不是注定要失败?

这种自我怀疑会让人感到无力,甚至会让人陷入一种恶性循环:越怀疑自己,就越难以迈出下一步;越难以迈出下一步,就越怀疑自己。

于是,「难」就像一个无形的枷锁,将我们牢牢地困在原地,动弹不得。

难,是环境的压力

当然,除了内在的因素,「难」也常常来自于外部环境的压力。

比如,一个普通的工薪阶层,可能每天都在为房贷、车贷、孩子的教育费用而发愁。他们每天早出晚归,拼命工作,却依然觉得生活很难。难在哪里?

难在这个社会的规则和结构并不总是对每个人都友好。房价高昂、物价飞涨、竞争激烈……

这些外部的压力让人感到窒息,让人觉得难以为继。

不仅仅是经济上的压力,社会的期待同样让人觉得难。

人们总是喜欢用一些“标准”来衡量别人:到了某个年纪就应该结婚、生子,到了某个阶段就应该事业有成。如果你没有达到这些所谓的“标准”,你就会被贴上“不成功”的标签。

面对这些期待和评价,我们会感到无形的压力,而这种压力也会让人觉得「难」。

难,是内心的挣扎

除了外部的环境和内在的自我怀疑,「难」还有一个重要的来源,那就是我们内心的挣扎。

人生中很多时候,我们需要在两种选择之间做出决定,而每一种选择都可能带来不同的后果。这种选择的过程,往往是非常痛苦的。

比如,一个人是否应该辞去一份稳定但不喜欢的工作,去追求自己真正热爱的事业?

稳定的工作能带来安全感,但追求梦想则可能带来更大的满足感。两者之间如何取舍?

如果选择了稳定,他可能会后悔没有追逐梦想;

如果选择了梦想,他又可能为失去的安全感而感到不安。

这样的内心挣扎,正是「难」的一种体现。

再比如,感情中的分离。有时候,我们知道一段关系已经到了尽头,但我们却依然不舍得放手。放手意味着失去,但不放手又意味着继续痛苦。

这样的挣扎,让人感到无比煎熬,也让人觉得难以抉择。

难,是成长的代价

尽管「难」让人感到痛苦,但它也是成长的必经之路。

每一次我们面对「难」,其实都是在突破自己的边界,拓宽自己的能力。

那些让我们觉得「难」的事情,往往是我们从未尝试过的,或者是我们尚未掌握的。

正是因为它们超出了我们的舒适区,所以才会让我们感到如此困难。

然而,当我们回过头来看,会发现正是这些「难」的时刻,塑造了如今的我们。

小时候学走路很难,但正是因为跌跌撞撞,我们才学会了迈步;学习一项新技能很难,但正是因为不断尝试,我们才掌握了更多的能力。

可以说,每一次克服「难」的过程,都是我们成长的过程。

那么,如何面对「难」?

说实话,生活中谁没遇过点「难」?

钱不够用的时候难,工作做不好的时候难,感情不顺的时候难,甚至连好好睡一觉都成了奢侈的时候,也觉得难。

但「难」归「难」,咱总不能因为难就不活了吧?所以啊,关键是怎么面对这些「难」,怎么扛过这些日子。

1. 别硬撑,先承认「难」是真的难

别不好意思承认你过得不好。

咱都是凡人,不是神仙,每个人都会有扛不住的时候。

遇到难处,别总想着「我得像个英雄一样,谁都不能看出来我有问题」。

其实没必要。生活本来就有高有低,谁还能一直顺风顺水?

比如,钱不够用,那就坦然承认「现在确实紧」;

工作有压力,那就跟自己说「这事儿是难,但我能慢慢来」;

失业了,就大大方方的承认失业了。

先承认难处,别逃避,别压抑,心里反而能轻松点。

2. 别想着「一步到位」,先解决眼前的事儿

很多时候,我们觉得「难」,是因为想把所有问题一下子全搞定

但问题是,谁能一口气吃成个胖子啊?

与其想着「我得一次性翻盘」,还不如先把眼前的小事搞定。

就像爬山,别老盯着山顶,先看看脚下的路。

今天解决一件小事,明天解决另一件,再难的事也能一点点搞定。

比如欠了一屁股债,不要总想着「我什么时候能还清」,先想着「这个月我能还多少」;工作压力大,别想着「我什么时候能升职加薪」,先把手头的任务做好。

一步步来,困难没那么吓人。

3. 别死扛,学会开口求助

很多人遇到难事,总想着「我一个人能撑过去」

但真心话是,很多时候你一个人根本扛不住,硬撑只会把自己拖垮。

别觉得开口是丢脸,身边的亲人、朋友、同事,甚至陌生人可能都愿意帮你一把。

比如,缺钱可以找家人借一点,别总觉得「我不能麻烦别人」;工作搞不定就找同事帮忙,或者问问有经验的人;心理压力太大了,可以找朋友聊聊,甚至去找个心理咨询师。

很多时候,你会发现,事情没那么可怕,只是你把自己憋得太紧了。

4. 别和别人比,过好你自己的日子

说真的,很多时候我们觉得「难」,不是因为事情真的难,而是因为我们老拿自己跟别人比。

看到别人买房了,觉得自己难;

看到同学升职了,觉得自己难;

看到朋友秀恩爱,觉得自己难。

可问题是,那是别人的生活,跟你有啥关系呢?

过日子就得认清楚一点:你有你自己的节奏,别人过得好是别人的事,跟你没太大关系。

你只要做好自己的事,哪怕慢一点,也没啥丢人的。

就像爬山,有人跑得快,有人走得慢,但只要你一步一步往前走,早晚也能到山顶。

5. 难的时候,别忘了对自己好点

人一旦觉得难,就容易钻牛角尖,越想越糟心,越糟心越觉得难。

所以,这时候特别需要停一停,给自己一个喘口气的机会。

比如工作做不下去了,就给自己放个小假,哪怕只是在家窝一天,看几集喜欢的剧;心情不好,就出去转一圈,吃点好吃的,买点小东西奖励自己;压力大得睡不着,就找个朋友聊聊,或者写下来发泄一下情绪。

对自己好点,不是逃避,而是为了让自己有力气继续扛下去。

6. 相信「难」是暂时的

别看现在日子难,未来说不定就有转机了。

生活就是这样,难的时候觉得天都塌了,可熬过去了再回头看,会发现「其实也没那么可怕」。

你可以想想,过去你是不是也遇到过一些很难的事情?

当时觉得过不去了,但现在不也挺过来了吗?

人生就是这样,难是暂时的,熬过去了,一切都会变好。

记住一句话:「再黑的夜,天也会亮;再大的雨,终会停。

7. 行动起来,比什么都重要

最后,最重要的一点:别光想,得行动起来

有些人觉得日子难,总想着「我要是能怎么样就好了」,但光想没用,得去做。

哪怕是一点点小行动,也比一直想强。

比如,缺钱了,先看看能不能找份兼职;工作不顺心,先试着提升自己的能力;感情不好,就试着沟通或者调整自己的状态。

很多时候,难不是因为事情有多复杂,而是因为我们不想动、不敢动。

动起来,哪怕只是一小步,你都会觉得好像没那么难了。

难不可怕,只要你愿意扛

其实,生活中的「难」谁都会遇到,关键是你怎么面对它。

别指望一夜之间解决所有问题,别硬撑,别和别人比,别忘了对自己好点。

一步步来,慢慢熬,熬过去了你会发现,这些难事其实都是你成长的垫脚石。

最重要的是,相信自己。你已经挺过了过去的种种难关,这一次也一定可以再挺过去。

人生嘛,有时候就是一场熬,但熬过去了,天一定会亮的。

以冯唐的话结尾:看脚下,不断行,莫存顺逆

以上。

架构师必备:MFA 了解一下

1. 引言

还记得 2023 年 GitHub 强制推行多因子认证(MFA)的那一刻吗?从 3 月开始,GitHub 分阶段要求用户启用 MFA,并在年底前全面完成覆盖,这让全球开发者不得不重新审视身份安全的重要性。

现在我们登录 Github ,除了要输入密码,还需要完成一个额外的验证步骤,比如输入手机上的动态验证码,或者通过手机上的身份验证器(Authenticator App)确认登录。这种看似繁琐的体验已经成为各大云厂商产品的标配。不仅是 GitHub,像 AWS、阿里云、腾讯云等云厂商也几乎都要求在敏感操作时使用多因子认证(MFA),以确保账户安全。

这种举措不仅保护了平台上的代码和账户安全,更体现了现代身份管理技术的趋势,今天,我们就从 GitHub 强制 MFA 的案例切入,了解 MFA 及 Google Authenticator 的实现原理。

2. 什么是 MFA/2FA

在探讨 MFA 之前,我们需要理解身份验证的本质。身份验证是确认某人或某物的身份是否属实的过程。无论是通过密码登录 Gmail,还是刷身份证进入火车站,身份验证的核心都是确保「你是你自称的那个人」。

然而,传统的基于密码的身份验证模式存在诸多隐患:

  • 密码过于简单:许多人使用诸如“123456”或“password”这样的弱密码。
  • 密码重复使用:用户往往将同一个密码应用于多个网站,一旦一个账户泄露,其它账户也岌岌可危。
  • 钓鱼攻击和暴力破解:黑客通过欺骗或技术手段轻易获取用户密码。
  • 中间人攻击:在不安全的网络环境中,密码可能被拦截。

这些问题导致密码的安全性备受质疑,因此需要额外的保护层,MFA 由此应运而生。

2.1 MFA:不是多一个步骤,而是多一层防护

MFA,Multi-Factor Authentication,多因子认证,是一种身份验证方法,要求用户提供多个独立的身份验证因素来完成登录或访问。传统的身份认证只依赖单一密码,MFA 则通过引入额外的验证步骤,极大地提升了账户安全性。

在 MFA 中,通常会结合以下三类验证因素:

  • 你知道的东西:密码、PIN 码、答案问题等。
  • 你拥有的东西:动态验证码(通过手机或硬件设备生成)、安全令牌、智能卡、U 盾等。
  • 你自身的特征:生物特征验证,如指纹、面部识别、虹膜扫描等。

MFA 的意义在于,即便攻击者获得了你的密码,由于缺少额外的验证因素,他们依然无法轻易访问你的账户。例如,登录 GitHub 时,即使密码被泄露,攻击者若没有你的手机或安全密钥,仍然无法完成登录。

毕竟,密码泄露已经成为网络攻击中最常见的手段,而 MFA 则为用户的账户增加了第二道甚至第三道锁。

2.2 2FA

2FA 是MFA 的一种特殊形式,它仅使用两种不同的验证因素来完成认证。简单来说,2FA 是 MFA 的一个子集。

例如:

  • 登录时输入密码(第一个验证因素:你知道的东西)。
  • 然后输入手机上的动态验证码(第二个验证因素:你拥有的东西)。

值得注意的是,两种不同的验证因素是类别的不同,像以前有一种策略是需要提供密码和安全问题答案,这是单因素身份验证,因为这两者都与「你知道的东西」这个因素有关。

在大多数应用中,2FA 已经足够满足安全需求,因此它是目前最常见的多因子认证实现方式。

3. 为什么 MFA 如此重要?

1. 密码不再安全

随着技术的进步,密码破解的门槛越来越低。攻击者可以通过以下方式轻松破解密码:

  • 暴力破解:通过快速尝试各种可能的密码组合。
  • 数据泄露:黑客通过暗网购买被泄露的用户名和密码。
  • 钓鱼攻击:通过伪装成合法网站诱骗用户输入密码。

在这种背景下,仅靠密码保护账户变得极为不可靠。MFA 通过引入多层保护,从根本上提升了安全性。

2. 提高攻击成本

MFA 的最大优势在于,它大幅提高了攻击者的攻击成本。例如,攻击者即便成功窃取了用户密码,也需要物理接触用户的手机或破解生物特征才能完成登录。这种额外的复杂性往往会使攻击者放弃目标。

3. 应对多样化的威胁

MFA 可以有效抵御多种网络威胁,包括:

  • 凭证填充攻击:即使用泄露的密码尝试登录多个账户。
  • 中间人攻击:即便密码在传输中被窃取,攻击者仍需第二个验证因素。
  • 恶意软件:即使恶意软件记录了用户输入的密码,也无法破解动态验证码。

4. MFA/2FA 的工作过程和形式

4.1 MFA 验证的形式

MFA 形式多样,主要有如下的一些形式:

  1. 基于短信的验证:用户在输入密码后,会收到一条包含验证码的短信。虽然方便,但短信验证并非绝对安全,因为短信可能被拦截或通过 SIM 卡交换攻击(SIM Swapping)被窃取。
  2. 基于 TOTP(时间同步一次性密码)的验证:像 Google Authenticator 这样的应用程序可以生成基于时间的动态密码。这种方式更安全,因为动态密码仅在短时间内有效,且无需网络传输。
  3. 硬件令牌:硬件令牌是专门生成动态密码的物理设备。例如银行常用的 USB 令牌,用户需要插入电脑才能完成验证。
  4. 生物特征验证:指纹、面部识别和视网膜扫描是最常见的生物特征验证方式。这种验证方式非常直观,但存在用户数据隐私的争议。
  5. 基于位置的验证:通过 GPS 或 IP 地址限制用户只能在特定位置登录。
  6. 基于行为的验证:通过分析用户的打字节奏、鼠标移动轨迹等行为特征来确认身份。

4.2 2FA 如何工作?

双因素身份验证的核心理念是:即使攻击者获得了用户的密码,他仍然需要通过第二道验证关卡才能访问账户。以下是 2FA 的典型工作流程:

  1. 第一道验证:用户输入用户名和密码:用户通过密码证明「知道的内容」,这是第一道验证因素。
  2. 第二道验证:动态代码或生物特征识别:系统会向用户发送一个一次性验证码(如短信、电子邮件或 Google Authenticator 生成的代码),或者要求用户提供指纹或面部识别。这是「拥有的东西」或「自身的特征」的验证。
  3. 验证成功,授予访问:如果两道验证都通过,用户即可成功登录。

如当你登录阿里云时,输入密码后需要打开阿里云的 APP,输入 MFA 的验证码。

5. MFA 的局限性

尽管 MFA 极大地提高了账户安全性,但它并非万能。有如下的一些局限性:

  1. 用户体验问题:对于技术不熟练的用户来说,设置和使用 MFA 应用程序门槛比较高。此外,每次登录需要额外的验证步骤,也可能降低用户体验。

  2. 成本问题:企业需要支付额外的费用来实施 MFA。例如短信验证需要支付短信发送费用,而硬件令牌的采购和分发也需要额外开支。

  3. 并非百分百安全:MFA 虽然有效,但并非无懈可击。例如:

    • 短信验证可能被攻击者通过 SIM 卡交换攻击破解。
    • 恶意软件可能会窃取动态密码。
    • 高级攻击者甚至可能通过社会工程学手段获取验证码。

在了解了概念后,我们看一下我们常用的一个 MFA 验证应用 Google Authenticator 的实现原理。

6. Google Authenticator 的实现原理

在使用 Google Authenticator 进行 2FA 的过程中,验证的过程可以分为以下两个主要阶段:初始化阶段 和验证阶段

6.1 初始化阶段:共享密钥生成与分发

这是用户首次启用双因素身份验证时发生的过程。在此阶段,服务端生成共享密钥(Secret Key)并通过安全的方式分发给用户的 Google Authenticator 应用。

  1. 服务端生成共享密钥

    • 服务端为用户生成一个随机的共享密钥K(通常是 16~32 个字符的 Base32 编码字符串,例如JBSWY3DPEHPK3PXP)。
    • 该密钥会作为后续动态密码生成的核心,必须对外保密。
  2. 生成二维码

    • Example: 服务提供方的名称。
    • username@example.com: 用户的账户。在 github 的场景中这个字段是没有的。
    • SECRET=JBSWY3DPEHPK3PXP: 共享密钥。
    • issuer=Example: 服务提供方名称(用于显示在 Google Authenticator 中)。
    • 服务端将共享密钥和其他元信息(如站点名称、用户账户)打包成一个 URL,符合otpauth:// 协议格式,例如:

      otpauth://totp/Example:username@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Example
      

      其中:

    • 该 URL 会被编码为一个二维码,供用户扫描。

  3. 用户扫描二维码

    • 用户使用 Google Authenticator 应用扫描二维码,应用会解析出共享密钥(K)以及站点相关信息,并将其安全存储在手机本地。
    • 共享密钥在手机端不会传回服务端,所有计算均在本地完成。
  4. 初始化完成

    • 用户的 Google Authenticator 应用现在可以基于共享密钥K 和当前时间生成动态密码。
    • 服务端同时将该共享密钥K 绑定到用户账户,并妥善保存以便后续验证使用。

6.2 验证阶段:动态密码的生成与验证

这是用户登录时的验证过程。在此阶段,客户端和服务端基于相同的共享密钥K 和时间步长计算动态密码,并进行验证。

6.2.1 客户端生成动态密码

  1. 获取当前时间

    • Google Authenticator 应用从设备的系统时间中获取当前的 Unix 时间戳(以秒为单位)。
  2. 将时间戳转换为时间步长

    • 将时间戳除以时间步长(通常为 30 秒),并取整:

      T = floor(currentUnixTime / timeStep)
      

      例如,当前时间是1697031000 秒,时间步长为 30 秒,则:

      T = floor(1697031000 / 30) = 56567700
      
  3. 计算 HMAC-SHA-1 哈希值

    • Google Authenticator 将时间步长T 转换为 8 字节的 Big-endian 格式(例如0x00000000056567700)。
    • 使用共享密钥K 和时间步长T 作为输入,计算 HMAC-SHA-1 哈希值:

      HMAC = HMAC-SHA-1(K, T)
      

      结果是一个 20 字节(160 位)的哈希值。

  4. 截断哈希值

    • 根据 HMAC 的最后一个字节的低 4 位,确定一个偏移量offset
    • 从 HMAC 中偏移量开始,提取连续 4 个字节,生成动态二进制码(Dynamic Binary Code,DBC)。
    • 对提取的 4 字节数据按无符号整数格式解释,并将最高位(符号位)置零,确保结果为正整数。
  5. 取模生成动态密码

    • 对动态二进制码取模10^6,生成 6 位数字密码:

      OTP = DBC % 10^6
      

      例如,计算结果为123456

  6. 显示动态密码

    • Google Authenticator 将生成的 6 位动态密码显示给用户,该密码有效时间为一个时间步长(通常为 30 秒)。

6.2.3 服务端验证动态密码

  1. 服务端获取当前时间

    • 服务端同样获取当前的 Unix 时间戳,并计算对应的时间步长T
  2. 计算候选动态密码

    • 服务端使用用户账户绑定的共享密钥K 和当前时间步长T,通过与客户端相同的 TOTP 算法计算动态密码。
    • 为了容忍客户端和服务端的时间差异,服务端通常会计算当前时间步长T 以及前后几个时间步长(例如T-1 和T+1)的动态密码,形成候选密码列表。
  3. 验证动态密码

    • 如果匹配成功,则验证通过,用户被允许登录。
    • 如果所有候选密码都不匹配,则验证失败,拒绝用户登录。
    • 服务端将用户提交的动态密码与候选密码列表逐一比对:

6.3 关键数据的传递过程

在整个验证过程中,关键数据的传递和使用如下:

6.3.1初始化阶段

  • 服务端 → 客户端
    • 共享密钥(K):通过二维码或手动输入传递给 Google Authenticator。
    • 站点信息:站点名称、账户名等信息也通过二维码传递。

6.3.2验证阶段

  • 客户端

    • 本地保存的共享密钥K 和当前时间计算动态密码。
    • 用户将动态密码(6 位数字)手动输入到登录页面。
  • 客户端 → 服务端

    • 用户提交动态密码(6 位数字)和其他常规登录凭据(如用户名、密码)。
  • 服务端

    • 使用同样的共享密钥K 和时间步长计算候选动态密码。
    • 对比用户提交的动态密码与计算结果,完成验证。

整个过程有如下的一些关键点:

  1. 共享密钥的安全性

    • 共享密钥K 是整个验证过程的核心,必须在初始化阶段通过安全的方式传递,并在客户端和服务端妥善保存。
    • 密钥不会在验证阶段传输,只有动态密码被提交。
  2. 时间同步

    • 客户端和服务端的时间必须保持同步,否则计算的时间步长T 会不一致,导致动态密码验证失败。
    • 为了适应设备的时间漂移,服务端通常允许一定的时间步长偏移(如 ±1 步长)。
  3. 动态密码的短生命周期

    • 动态密码的有效时间通常为一个时间步长(30 秒),即使密码被窃取,也很快失效。
  4. 离线生成

    • 动态密码的生成完全依赖共享密钥和时间,无需网络连接,增强了安全性。

7. 小结

通过 GitHub 强制推行 MFA 的案例,我们可以清晰地看到,MFA 已经成为现代身份管理的重要基石。密码本身的弱点让账户安全长期处于威胁之下,而 MFA 的引入不仅为用户增加了一层甚至多层防护,更在技术上为身份验证树立了一个全新的标准。

尽管 MFA 并非完美,还存在用户体验、实施成本和一定的攻击风险,但它在密码安全性危机中提供了一种强有力的解决方案。无论是个人用户还是企业,采用 MFA 已经成为抵御网络威胁的必要手段。

未来,随着技术的进一步发展,多因子认证可能会越来越多地融合生物特征、行为分析和人工智能技术,为用户提供更安全且更便捷的身份验证体验。而对于每一位开发者和用户来说,理解和使用这些技术,不仅是保护自身数字资产的关键,更是应对日益复杂的网络安全形势的必修课。

以上。