绝大多数账号失陷与密码有关：撞库、钓鱼、复用。MFA 的核心作用，是让「拿到密码」不再等于「拿到账号」。
因子强度是分层的
短信验证码能挡住批量撞库，但挡不住实时钓鱼；FIDO2 安全密钥把凭据绑定到源站域名，是目前抗钓鱼能力最强的方案。合理做法是按人群与场景分层，而不是一刀切。
自适应策略
当登录来自新设备、异常地理位置或高风险 IP 时，平台提升认证强度；当用户在已注册的受管设备上、处于常用网络时，则可以用设备绑定的方式完成近乎无感的验证。
落地时的三个坑
- 没有准备备用因子，用户换机后无法登录
- 对全员同一天强制启用，服务台瞬间被淹没
- 只覆盖了 Web 登录，API 与 VPN 仍是单因子