C6.29.3Randomized keypad speed–security tradeoff设计研究
随机排布键盘牺牲了盲打速度，是安全与效率的权衡
别名: 随机键盘变慢 · PIN 效率 · 安全效率权衡
概念解释
打乱数字位置之后，用户不能再靠电话盘或计算器盘的肌肉记忆，必须每颗键都看一眼再点。PIN 输入时间明显变长，错误（点到邻格）在匆忙时上升。这是为降低位置窥屏而付的效率税，不是随机化失败，而是它的设计代价。权衡要显式做：肩窥风险高的场合付税，在无人的家里为四位解锁码付同样的税，往往不值。
机制
盲打把数字编码成相对坐标。映射每会话一变，坐标程序作废，视觉搜索接管。搜索成本随键数增加：10 个数字已经要扫，若再把字母也打乱则接近不可用。排队的人会在时间压力下回到“大概在那边”，错误升高，反而可能把 PIN 打到屏幕日志或重试锁定里。固定布局快但可被坐标还原；随机布局慢但坐标无意义。两者不是一个优于另一个，而是场景函数。
怎么研究
同一批人在固定与随机数字盘上输入同样 PIN，记录时间、注视次数、错误、以及旁观者还原率，把安全收益和效率成本画在同一张图上。压力条件（限时、有人站在身后）要单独做。长期日记看随机盘是否在数周后仍无法形成新的记忆——通常不能，因为映射每次都变。不要只用“感觉更安全”的问卷代替还原率。
边界
每次打开若只在小范围内抖动而不是全排列，效率税较小，防护也较弱。硬件带凸点的 PIN 盘无法随机化，效率得以保留。允许粘贴或生物识别时，随机盘只是后备，税只在走后备时支付。视力不佳的用户付的税高于平均，权衡必须把他们算进去。
怎么落地
- 公共交通、柜台类产品默认随机；个人设备解锁提供“固定布局”选项，并警告肩窥。
- 把生物识别或系统密码箱当作主路径，随机盘仅在失败时出现，降低付税频率。
- 不要把随机盘用在长口令或要反复输入的主密码上。
- 验证：测中位输入时间与旁观还原率，向产品负责人同时出示两列数，选择布局时写明接受哪一端。