是什麼阻止你的應用允許在多個設備上同時登入

到了 2023 年，跨設備協作已經成為大多數人的必需品。在蘋果的帶領下，各大終端製造商紛紛建立自己的跨設備生態系統，包括但不限於同一生態系統內的投屏、剪貼板共享、數據共享等。

當前狀況#

即使在這種不可避免的趨勢下，許多軟體公司仍然沒有跟上跨設備協作的步伐。在最基本的層面上，許多應用不支持同一帳戶在多個設備上登入的選項。當我們談到多設備登入或並發登入時，我們指的是在多個設備上同時登入同一帳戶，而不同設備之間的登入狀態不會互相影響，並且擁有獨立且完整的訪問權限。

對於這些不支持並發登入的應用來說，通常的方法是在第二個設備的登入成功時自動登出第一個設備上的帳戶，且不會給用戶任何提示。

使用自動登入來提高便利性似乎對用戶是有利的，但這可能會對未來的使用造成問題。例如，如果早先自動從一個設備中登出，並且需要很快再次使用這個設備，你可能需要執行額外的安全步驟，比如輸入短信驗證碼或進行人臉識別。這些額外的步驟會帶來更多的不便，比如需要特定的光線或姿勢來進行人臉識別，並且也帶來了一些風險。

你也許會想，哪種方法更好呢？更好的方法是告知用戶，他們一次只能登入一個設備。當出現衝突時，應由用戶決定刪除哪個設備或是否取消新設備的登入嘗試。這樣，用戶就擁有更多的控制權。

挑戰和潛在解決方案#

我們分析了當前不支持並發登入的應用，發現了一些它們面臨的潛在問題，我們試圖提出這些問題並給出我們自己的可能解決方案。

合規要求#

在一些國家和地區，特定類別的應用（如即時通訊和社交媒體）需要進行實名註冊以滿足合規要求。

應用如何應對合規要求？#

作為對這些要求的回應，不同應用採取了不同策略：

• 要求實名註冊
• 允許註冊，但只有在實名驗證後才授予某些功能的訪問權限
• 通過要求綁定銀行卡等方式間接實現實名要求（如支付應用）

由於這些要求的存在，不同應用採取了不同的解決方案。有一點可以確認的是—— 沒有應用會阻止用戶在他們的平台上創建多個帳戶。也就是說，即使帳戶擁有相同的擁有者，他們在技術上不會限制跨設備使用多個帳戶。

思考與可能解決方案#

如果法律法規的最初目的是通過唯一的帳戶 ID 追蹤帳戶的使用和設備，當前的授權協議和技術仍然可以檢測特定設備是否發起了一項活動，即使單個帳戶登入了多個設備。

啟用多設備登入並不一定排除法規的追溯性。通過適當的技術實現，仍然可以區別和追踪來自每個設備的帳戶活動。因此，不需要對用戶施加單一設備限制即可遵守法規。

業務增長考量#

我們認為這個問題不應被詳細討論 - 每個公司都有其商業決策的原因。

一個我們了解的真實案例#

然而據我們所知，一些公司早期鼓勵用戶創建多個帳戶作為增長策略。後來，隨著公司進入新的階段，出於技術和業務原因，他們需要合併用戶的多個帳戶數據，這需要團隊花費數年時間來做好帳戶整合。

如果是我們會怎麼做？#

雖然讓用戶創建多個帳戶在短期內看起來有利於增長，但從長遠來看，這會讓用戶難以管理跨帳戶的數據，並且公司很難從許多不活躍的“僵尸帳戶”中提取有價值的見解。這將損害用戶體驗並增加運營成本。

因此，雖然每位用戶多個帳戶可能會暫時提升增長指標，但從長遠來看它創造了技術債務並損害用戶體驗。

安全原因#

安全考量可能是應用發行商向用戶證明為什麼不支持同時多設備登入的最有說服力的理由。

許多人可能會毫不思索地接受這一解釋，但我們試著找出了真正的原因。

已經採取的安全措施#

讓我們考慮銀行應用，它們有嚴格的安全要求。當你打開這樣的應用時，第一步是登入。許多銀行應用提供使用 Face ID 或指紋解鎖和訪問應用的便利。然而，對於大額金融交易等敏感操作，則需要額外的驗證步驟來確保安全。這些步驟通常涉及多種形式的多因素身份驗證（MFA）及由第三方可信單位（通常是政府機構）提供的官方在線身份驗證服務。

需要注意的是，大多數 MFA 方法只能確認當前用戶能夠訪問該設備，但無法保證用戶是合法的帳戶擁有者。也可能有人以其他方式獲取了帳戶憑據。然而，第三方線上身份驗證服務有效地解決了這一限制。通過將 MFA 和第三方身份檢查結合用於高風險操作，可以減輕許多與多設備登入相關的安全風險。

從產品角度我們還能做什麼？#

到目前為止，我們還沒有發現亟需技術阻礙支持從安全性角度來看多設備登入。如果當前在單一設備上的措施可以確保安全，那麼擴展到多設備支持不會帶來額外的安全風險。

我們確定在支持同時登入方面沒有安全技術障礙。此外，如果能夠在單一設備上適當維護安全，那麼擴展到多設備支持也不會有主要顧慮。這可以在沒有任何顯著問題的情況下解決。

然而，一些產品措施可以幫助進一步提高安全性（假設已經支持並發登入）：

1. 如果一段時間內沒有活動，則自動登出設備。
2. 支持管理登入狀態和在每個設備上監控所有設備的活動。這允許用戶在必要時強制登出其他設備，以確保安全性。
3. 向設備推送可疑活動通知，讓用戶判斷是否為惡意行為並根據需要阻止。

是否有現成的解決方案可以幫助解決這些挑戰？#

關於前兩個問題，我們不會太多展開，因為這涉及到商業和合規考量。但是，如果你正在尋找支持並發登入的身份解決方案，Logto 值得一試！

第一個問題提到需要追蹤每個活動的設備來源。Logto 已有的用戶活動日誌已經記錄了設備信息，可以幫助 Logto 用戶滿足該領域的合規要求。由於合規要求因地區而異，可能會在不同地區的規則間存在矛盾。如果你有任何特殊需求，不要猶豫 聯繫 Logto 團隊。

至於第二個問題帳戶整合，我們在設計 Logto 時深知多種登入方法對每個帳戶的重要性。我們的登入和註冊流程努力防止冗余帳戶創建，允許一個帳戶通過不同的方法訪問，如 Google、電子郵件，或用戶名/密碼等。

關於第三個問題中提到的“第三方在線身份驗證服務”，Logto 使用者可以整合第三方以獲得此服務。

Logto 的重點是實現與主流方法的 MFA 相容性（將於 2023H2 發佈，訂閱我們的新聞通訊以獲取通知！），並結合我們現有的 登入體驗的配置（Chapter1，Chapter2）。我們非常歡迎任何 MFA 案例與我們分享－這些將為我們的最終產品提供重要參考。任何 Logto 功能都遵循三個原則：安全、盡可能易用和解決用戶問題。通過我們強大的登入體驗配置，用戶可以輕鬆構建隨時準備好的商業登入/註冊流程。Logto 已經支持多設備登入。一旦 MFA 準備就緒，Logto 可以將用戶帶到更高的安全水準！