最近公司有一個內部機敏資料網站，因為業務需求開始要允許外部連線，所以登入驗證也準備一起加強

原本的想法很單純，就是除了原本帳號密碼之外，再導入一層 USB Security Key 的驗證，畢竟都已經要從外部進來了，多一道硬體驗證也算合理

這件事後來就交給一個工程師做

過了一陣子他說功能完成了，我剛好去看 Demo

使用者先把 USB 插上去，系統抓到裝置，畫面接著要求輸入裝置解鎖碼，送出之後顯示驗證成功

整個流程看起來其實滿正常的，我一開始也沒有特別覺得哪裡有問題

只是看第二次的時候，我突然有點疑惑

因為照理說這種東西，真正的驗證應該是在裝置那邊完成一部分，後端再去確認驗證結果

但 Demo 從頭到尾都很安靜

沒有看到什麼註冊金鑰的過程，也沒有什麼 challenge，操作上就只是插 USB、輸入一組碼，然後成功

我想說可能只是畫面沒表現出來，所以就去追了一下實作

這一追就開始不太對了

USB 插上去之後，程式其實只是讀出一個裝置編號

使用者接著輸入裝置解鎖碼

然後這兩個值就直接一起送到後端

第一次使用的時候先把它們記下來，之後每次驗證再傳一次，只要裝置編號跟解鎖碼都一樣，就回驗證成功

我看到這裡還不太相信，又繼續往下找

想說是不是還有哪個地方真的有做 Security Key 的驗證，只是我漏掉了

結果沒有

真的沒有

那支 USB 從頭到尾唯一的工作，就是提供一個裝置編號

至於裝置解鎖碼，也沒有拿去解鎖什麼裝置能力，就是直接被當成另一組密碼送到後端

所以繞了一大圈之後，實際做出來的東西就是：

裝置編號當帳號
裝置解鎖碼當密碼

然後因為登入前必須先插一支 USB，所以看起來很像有做硬體驗證

我後來還特地回去翻需求跟文件，想確認是不是哪裡真的寫得這麼奇怪

結果也沒有

沒有人要求他這樣做，文件也不是這樣教

就是工程師自己看完需求之後，理解成這樣，然後就一路把它做完了

最靠北的是這東西其實真的不會壞

可以註冊，可以登入，畫面有反應，後端也會回成功

如果驗收的人只照操作流程點一遍，大概還真的看不出來哪裡有問題

本來是因為網站要開放外部存取，所以想多加一層安全驗證

最後安全有沒有多一層我不知道

但登入步驟確實多了一層
更多精彩文章，盡在純靠北工程師。

---

純靠北工程師 版權宣告

最後更新日期：2025年9月25日

---

【重要條款更新通知】

本次宣告更新包含溯及既往條款。自 2025年10月1日 起，所有內容將適用最新的「專屬授權」條款。針對在此之前發布的內容，原投稿人若不同意新條款，可「隨時」聯繫本網站管理員申請下架。詳情請見第六條。

---

歡迎使用純靠北工程師（以下簡稱「本網站」）。提交任何內容至本網站前，請詳細閱讀本版權宣告。一旦提交，即代表您已同意並接受所有條款。

第一條：網站程式碼與設計

本網站之軟體、原始程式碼、網站架構與網頁設計，係依據 MIT License 開源授權。此授權範圍不包含本網站之商標（如「純靠北工程師」名稱與標誌），亦不包含任何使用者投稿內容。

第二條：使用者投稿內容之專屬授權

1. 著作權歸屬：您所投稿原創內容之著作權，仍歸屬於您本人。
2. 專屬授權（Exclusive License）：您一旦投稿，即同意授予本網站一份「專屬、無償、永久、不可撤銷且可轉授權」的權利。此授權包含：
   • 獨家權利：僅有本網站能在全球範圍內，公開使用、散布、展示您的投稿內容。
   • 您的義務：作為專屬授權的對價，您不得再將「同一份」投稿內容，發布於任何其他公開平台，包含但不限於您的個人社群媒體或部落格。
   • 永久性：此授權為永久有效，無法撤銷。
   • 無償性：本網站使用您的內容不支付任何費用。
   • 可轉授權：本網站可將上述權利轉授權予第三方。
3. 內容保證：您保證投稿內容為原創，且未侵害任何第三方權利。若引發法律糾紛，將由您個人承擔全部責任。

第三條：內容使用與分享

1. 允許的分享：內容可透過本網站的「分享」功能或頁面網址進行分享。所有分享皆須清楚標示來源為「純靠北工程師」。
2. 禁止的行為：除前項允許的分享方式外，嚴格禁止任何人（包含原投稿人）以複製、截圖、下載等方式，重製或轉載本網站的任何內容。

第四條：本網站之權利與責任

1. 侵權維護：基於此專屬授權，當第三方盜用或抄襲投稿內容時，本網站有權以自身名義採取警告、訴訟等法律行動。
2. 免責聲明：本網站為匿名平台，無法審核內容之真實性與合法性。所有內容僅代表投稿人立場，與本網站無關。
3. 侵權通知：若您認為網站上有內容侵害您的著作權，請與我們聯繫，我們將依法處理。

第五條：法律責任與條款修改

任何違反本宣告之行為，均屬侵權或違約，本網站將保留法律追訴權，並要求賠償所有損失（含律師費與訴訟費用）。本網站有權隨時修改本宣告，修改後將直接公布於網站，不另行通知。建議您定期查看最新條款。

第六條：條款溯及既往與權利區分

1. 效力溯及：本版權宣告（特別是第二條之專屬授權），將溯及既往適用於所有曾發布於本網站的內容。
2. 新舊文章之權利區分：
   • 關於 2025年10月1日 前發布之內容：若您是此日期前發布內容的原投稿人且不同意本宣告之專屬授權條款，您隨時有權聯繫本網站管理員，在提供適當證明後申請下架您的投稿。在您申請下架前，該內容將依本宣告條款進行管理。
   • 關於 2025年10月1日 (含當日) 起發布之內容：所有在此日期後送出的投稿，一經發布即代表投稿人已閱讀、理解並同意本宣告的所有條款，此專屬授權為永久且不可撤銷。