异常登录需主动告知
别名: 异地登录提醒 · new device alert · 异常登录通知
概念解释
人不会每天打开会话列表。主动告知指服务器在判定一次登录异常（新设备、新地区、异常时间、不可能的旅行）之后，用已验证通道把这件事推到本人面前：邮件、推送或短信，内容包括粗略设备与地点、时间、以及「不是我」的入口。这条管系统找人，不管列表怎么画，也不管点「不是我」之后如何单条吊销——告知必须能达到，吊销是下一动作。
机制
异常占用的时间窗口往往很短：偷来的会话立刻改邮箱、转资产。等本人下次偶发打开设置，窗口已经关上。主动告知把检测从「人来查」改成「事件来找人」。误报会训练人忽略（新 VPN、出差、系统升级被当成新设备），于是真告警也被划掉。告知通道必须独立于刚建立的那个可疑会话：只在新设备上弹「欢迎」等于通知了入侵者。邮件或推送到旧设备、旧邮箱，才是把消息送到可能仍是本人的地方。文案要让人能判断「是不是我」，而不是只说「检测到活动」。
怎么研究
用真实或注入的新设备登录，比较无通知、仅站内铃铛、向旧通道推送，看本人发现异常的时延和误报忽略。
自变量：通知通道（旧设备推送、已验证邮箱、仅新设备欢迎页）、异常规则（新设备、跨城、不可能旅行）、文案是否含可核对特征。 因变量：从异常登录到本人采取行动的时间、误报点击「这是我」的比例、真异常被忽略的比例。
实验室里「异常」是实验者宣布的，人处于警戒。现场要把出差与咖啡店 Wi‑Fi 算进误报。不要用打开率当成功——要看「不是我」是否通向能作废会话的动作。通道本身被盗（邮箱已失）时告知失效，这是恢复设计的边界，测量时单独标记。
边界
没有已验证联系通道的账号无法被主动找到，应在绑定联系方式时说明「没有它就收不到异常提醒」，而不是假装会通知。高频登录的集成测试账号会把通道打爆，需要面向用户的摘要而不是每事件一封。受监护账号的告知对象是监护人通道。法律或企业政策可能禁止把地点写入邮件，特征改用设备类型与时间。登录即注册的新账号没有「旧设备」，第一次登录不应当异常。
怎么落地
- 在新设备或无法解释的地点成功登录后，向登录前已验证的邮箱或旧设备推送，含时间、粗略地点、设备类型，以及「不是我」链到可处理页。
- 「不是我」不得只打开帮助文；应落到会话列表或一键作废该次登录，并建议检查密码与绑定。
- 把明显的本人模式（刚换机并在旧机上确认过）从异常里排除，降低误报；对误报提供「这是我，记住这台设备」。
- 验证：用一台从未登录过的设备签入测试账号，确认旧邮箱或旧设备在短时间内收到可理解的告知，且新设备上看不到这封给本人的信的完整「不是我」能力被用来保护入侵者。点「不是我」后该新会话应失效。统计误报率，但不要为了降误报而关掉对全新设备的告知。