网络生活——关注网络，关注前端设计

最近移动的网站准备改版了，准备大干一场，将这几年的积累技能知识都用上，在讨论第一个问题的时候就遇到麻烦。

我的建议是从用户体验的角度来看，取消登录验证码，改为在用户登录失败n次以后再出现验证码，如果再失败m次就提示用户拨打10086修改密码然后必须用短信验证码登录。

但是项目经理否决了我的提议，理由是要达到这种效果只能用session、cookie或者数据库记录用户登录失败次数，从安全性考虑session、cookie都无法满足，但是用数据库记录，每次用户登录都要多查询一次数据库，会增大数据库压力。因此不现实。

程序开发我不是很懂，这个数据库增加的压力到底有多大我也无法预估，有没有既不会带来太大压力又能实现的办法，这个我也不知道，于是没有足够的理由去说服项目经理。

在用户体验和设计开发以及服务器成本相矛盾的时候应该如何取舍呢？

我个人的认为是，如果不走出这第一步就永远停留在现阶段，一味的顾忌成本，对于项目的发展会产生很大的阻碍。

但是这是我个人乐观的想法，在企业追逐利益的时代，利益永远比用户重要，做了这个功能也许不会从客户那里多收到一分钱，于是就不做。

要扭转这种局面，不是我一个小小的前端能够达成的，唯一能做的只是选择一个更注重用户的企业，或者自己能够控制项目。

是时候做出改变了。

附：建议书中关于验证码的部分：

1、 登录验证码功能

验证码功能现状分析：

验证码是一个会让用户感到比较反感的事物，但是为了安全问题，又往往是必须的。

验证码的主要作用有二，一是防止机器暴力破解密码，二是防止机器spam群发。在我们网站登录这一块主要起到的是第一种作用。

但是随着计算机技术的不断提升，现在也出现了通过OCR软件获得网站验证码的相关技术，为了避免这种方式，通常采取的方法是增加干扰纹，使OCR软件无法正常识别验证码文字，但是同时带来的问题是用户自己识别也更困难了

基于防止机器暴力破解密码，我们提出了以下解决方案，在增强用户使用体验和安全性上取得了一个平衡点。用户登录只需输入手机号和10086密码即可登录，如果密码连续错误1-3次，则需要输入验证码，如果继续错误1-3次，则只能通过短信验证码登录并且建议用户拨打10086重置密码，如果继续输入错误1-3次则禁止用户登录一个小时。

方案分析：据统计，大多数用户登录网站都会在1-3次内登录成功，其中近70%是因为验证码问题登录失败。因此对于知道正确密码的用户来说，验证码是一个多余选项，反而可能会造成用户正常登录失败，因此在用户首次登录的时候去掉验证码可以提高用户登录的成功率，增强用户体验。而对于机器穷举法暴力破解的人来说3次就猜对密码的可能性微乎其微，而第四次开始就需要输入验证码了，而验证码之后又加入了短信验证码，杜绝了穷举法暴力破解的可能性。