核对完整验证路径，而不是只看登录页
登录页看起来很严谨，不代表整套身份验证机制已经闭环。账号访问还取决于验证方式怎样登记、日常登录怎样核验、敏感设置何时要求重新验证、会话能持续多久、找回怎样进行，以及设备遗失后如何替换旧方式。建立七列身份验证路径图：登记、日常登录、追加验证、敏感操作复核、会话控制、找回、停用或替换。每列记录使用的验证方式、由谁核验、提示经哪个渠道到达、用户看到什么、备用路径是什么、什么可观察结果代表完成。这样能把账号验证与手机本机解锁分开，也能发现漂亮的新入口是否悄悄回落到较弱的找回路径。
先列清角色、验证因素和全部入口
列出账号标识、凭据服务或身份提供方、验证者、陪伴应用、已登记验证方式、找回联系人、可信设备与活动会话。NIST 数字身份模型把身份核实、验证器、验证者、联合身份与会话视为相关但不同的功能。密码属于知道的内容；登记设备或密码密钥属于持有的对象；指纹可能只是在本机激活某个验证器，并不自动成为远程账号凭据。以当前产品真实入口为准，不根据图标自行贴安全等级。网页、移动应用、第三方登录、重置密码、设备批准与客服找回都应列行；当前资料没有说明的路径保留未知。
把日常登录与敏感操作复核分开
列出会改变账号控制权的动作：新增或移除验证方式、更改找回邮箱、导出数据、关闭追加验证、连接外部身份、查看备用码、注销账号、退出所有会话。逐项检查应用是否要求新鲜验证，以及接受哪个因素。OWASP 的验证指导把敏感操作重新验证、找回与会话处理作为不同控制。手机刚刚解锁过，不代表五分钟后更改账号控制项时已经完成新鲜核验。只用自己账号和无害设置测试，避免反复触发找回或锁定。记录提示原点、目标操作、所用因素、取消后状态以及其他会话的可见变化。
核对验证方式属性，不做单一排名
为每种方式记录登记条件、设备绑定、同步、备份、抗钓鱼属性、用户核验、替换和撤销。NIST 说明密码不具备抗钓鱼属性，手动输入的一次性输出也不能视为抗钓鱼，因为假冒验证者可能转发它；某些加密验证器会把输出绑定到验证者名称或受保护通道。这不代表存在所有人通用的赢家，设备支持、恢复能力和共享设备边界仍需考虑。CISA 建议在可用时使用多因素验证，但两个提示只有在因素真正不同、备用路径不是含义不明的绕过时才有价值。记录官方说明的属性，不照抄“高级”或“安全”等宣传形容词。
把会话与找回画成两套状态机
验证成功后，会话可能持续到到期、退出、风险事件或服务端撤销；找回则可能登记新验证器、重置密码、恢复联合登录或经过支持流程。把两条序列逐步画出。测试退出一台设备是否影响另一台、更换因素是否关闭旧会话，以及会话清单能否区分浏览器资料和实体设备。再查看找回所需条件与通知，不必为了审计反复完成重置。已经不受控的邮箱、即将停用的号码，或写在普通笔记里的备用码，都可能削弱其他登录环节。清单不得保存密码、临时代码、找回链接或私人问题的准确答案。
执行三个有边界的转换测试
第一，在自己控制的设备完成一次普通登录，记录因素、提示来源、生成会话和可见账号标识；第二，打开一个无害的敏感设置，在重新验证提示处取消，确认设置与会话都没有变化；第三，只有在服务说明存在可逆路径时，新增一个非必要验证方式，验证一次后移除，并确认它不再可用。若替换不可安全回退，就只检查而不执行。记录版本、设备、时间、预期状态、实际状态与未决问题。通过只说明当前版本与当前路径，不能推断不可见的服务端实现。
按最弱转换作决定，不看最强截图
把每条路径归为预期、已观察、不可用或未知。漂亮的密码密钥提示无法弥补只凭旧邮箱即可找回的路径；日常登录有多因素，也不能回答移除验证方式时是否重新核验。完整清单至少应显示一个仍由自己控制的找回入口、查看或关闭会话的方式、账号控制变化的清楚通知，以及停用遗失验证器的文档路径。关键环节未知时，可减少放入敏感内容并向当前官方支持询问。主要设备、找回联系人、身份提供方、验证器类型或应用版本改变后再重开地图，无须没有新证据地频繁检查。
常见问题
应用锁等于账号身份验证吗？
不等于。本机锁只保护一台设备，远程会话与账号找回有独立控制。
开启多因素就能保护所有账号变更吗？
不能自动推定。要分别查看日常登录、找回、移除因素和敏感操作接受哪些核验。
应该反复测试账号找回吗？
不应。先检查条件，只在服务提供安全可逆路径时做一次有边界测试。