遮蔽增加输入错误率
别名: 密码圆点 · masked password · 看不见自己在打什么
概念解释
密码格默认把每个字符换成圆点或星号，人看不见自己刚打下的键。这种遮蔽（password masking）提高肩窥成本的同时，切断了视觉校对，打错、少打、大小写开错都要到提交失败才知道。遮蔽的错误代价（password masking error cost）说的就是这条：看不见的输入比看得见的同一串有更高的键入错误率。它不讨论旁边该不该有眼睛按钮，也不讨论能不能粘贴。
机制
普通文本靠槽内字形做即时校对：多一个字母、错一个标点，眼睛能抓住。遮蔽把字形拿走，校对通道只剩指尖的运动记忆和偶尔回放的击键声。密码又鼓励高熵、大小写混合、符号穿插，恰好是运动记忆最容易滑的一类串。错误被推迟到整串提交之后，人不知道错在哪一位，只能整段重打，第二次仍在盲打。肩窥防护是真实的，但它防护的是「旁边的人看见」，付出的是「自己也看不见」；在私密环境里，后一项常常更贵。
怎么研究
同一批人在遮蔽与明文两种条件下输入同一组密码（或自己的密码），记录提交前的正确率、退格、重试次数和完成时间。Nielsen 对掩码密码的批评，以及后续可用性实验，核心因变量就是错误与重试，而不是安全感自评。自变量：串长度与复杂度、是否允许短暂显示最后一位、环境是否有旁人。肩窥可作为单独任务：旁边坐一个人时明文的泄露率。不要用「我觉得更安全」代替打对了没有；安全感上升而登不进去，是遮蔽在转移成本。
边界
公共场合、背后有人的场景，遮蔽的肩窥收益可以压过错误代价，尤其是投影仪或共享屏幕。移动端拇指大、错键多，遮蔽的错误代价比桌面更大。验证码、解锁图案不是密码遮蔽，不要混着测。用「最后一位明文、其余圆点」能部分恢复校对，但仍不是整串可见，错误率下降有限。读屏器会把明文密码读出声，公开场合开明文有另一条泄露通道。
怎么落地
- 把遮蔽当成一项可开关的防护，而不是不可讨论的默认正确；在错误率和重试上为它记账。
- 登录失败且密码格仍是圆点时，先假设有键入错误，而不是先假设用户忘了密码。
- 私密设备、无旁人的场景优先保证能校对刚打下的串。
- 验证：让人在遮蔽条件下输入一条稍长的新密码并提交。高重试、整段删除重来，就是校对通道被切断。对照同一条在明文下的错误次数。