强制启用多因素认证前需评估目标用户的设备可得性
别名: 强制 2FA · MFA rollout · 无智能手机用户
概念解释
强制 MFA 把第二因素变成继续使用的条件。评估设备可得性指在开关打开之前，弄清目标人群是否实际拥有所要求的那类设备或通道：智能手机、可收短信的号码、安全密钥、工作电脑上的验证器。没有这份评估，强制会把没有设备的人永久挡在门外，或把他们赶进唯一还能用的弱通道。这条谈强制前的人群与设备，不谈强制之后强度怎么分档，也不谈备用因素怎么登记。
机制
第二因素是物质的。学生共用一台电脑、老人只有功能机、一线员工手机被仓库规定不得带入、部分地区短信到达率差，这些都不会出现在办公室的试用样本里。强制策略若按开发者自己的设备来设计，排除是结构性的。评估要按所要求的因素做，而不是问「你有没有手机」这种过粗的题：有手机不等于能装验证器、不等于号码能收国际短信、不等于允许 USB 密钥。找不到可得设备时，强制要么推迟、要么提供该人群真正拥有的因素，而不是按期上线再靠客服开白名单。
怎么研究
在代表性样本上调查拥有的因素，并做一次非强制的试开，看哪些人卡在登记。
自变量：要求的因素种类、人群分层（年龄、地区、岗位、是否允许带入手机）、是否提供替代因素。 因变量：能完成登记的比例、卡在「没有设备」的比例、强制后流失或工单。
便利样本会高估可得性。实地要包含被禁止带手机的岗位和双 SIM / 虚拟号用户。不要用「安全事件下降」单独为强制辩护，除非同时报告被锁在门外的人数。试点时间要够长，才能看到不是当天就能买到密钥的人。
边界
高保证行业（银行雇员、云管理员）可以强制密钥，评估的结论可能是「买不到就不发账号」，这是招聘与发放问题，仍要把密钥发到人手里而不是假设人人已有。消费者产品面向不特定人群，强制单一硬件等于选择用户。法律要求 MFA 时，评估变成「用哪种合规因素覆盖无智能机用户」，例如硬件 OTP 卡，而不是取消强制。已在使用通行密钥的人，强制再登记短信是重复负担，评估应计入已有因素。
怎么落地
- 强制前按目标用户抽样：能否完成所要求因素的登记；写明最低覆盖缺口，缺口未补不开强制。
- 为没有智能手机的人提供可得的替代（硬件 OTP、办公电脑验证器），并在文案里写清谁适用。
- 分批强制：先可选、再高风险账号、再全员，每批看「无设备」工单，而不是只看开启率。
- 验证：试点名单里应包含声明没有智能手机或不能收短信的人，记录他们能否在不破例关 MFA 的情况下继续工作。全员强制的上线门槛是这类人的路径已经跑通。上线后统计因 MFA 无法登记而流失的账号，与安全收益一并汇报。