@likuku

1. 你所谓的「常识」恰恰是绝大多数网名不知道的「技巧」。
从多次被拖的各类库里你可以看到有多少用户用了弱口令（默认、多字母简单重复、生日、手机号、键盘序），密保问题 /答案也一样，普通用户只会按照问题去设答案，而稍微有点儿常识的用户会做「混淆」，但给记忆带来负担。

2. 苹果的账户安全设置已经被多次证明很「蠢」，两步验证没记错也是一年期好莱坞艳照门事件后才加的。

3. 密保问题 /答案是用来在「因口令丢失通行受阻」时进行用户身份确认 重置密码的手段，而能达到这个目的的手段很多（可信邮箱、可信手机、人工等），而问答形式并不足够好。产品界这个基本是共识。

4. 对于一个 互联网服务，对安全性的权责范围只在站内。即：我在极力确认服务相关账户资料设置、验证、存储等安全的基础上，仍无法避免用户在站外行为中导致的可信验证手段失效（密保邮箱 /手机在 非本站被三方获取、身份证信息被盗取、甚至本人被绑架胁迫导致的信息亲自输入）。