先区分入口线索与最终网址

收藏、搜索或通知中的地址都可能经过HTTP重定向。等待地址栏稳定后，记录协议、主机和必要路径；主机持续变化或出现证书、欺诈提示时，应停止输入账号。

重定向可以是正常的入口更新，也可能把用户带到不同终点。页面配色、Logo或按钮文字不能代替地址栏核对。

页面能开，不等于会话已建立

Cookie常用于在多次HTTP请求之间保存会话状态，因此登录页正常显示与提交后会话能够保持，是两个不同结果。

普通窗口反复返回入口时，可在同一设备、同一网络和同一最终网址下使用私密窗口做一次对照。对照只说明浏览器环境存在差异，不能证明账号被锁定。

字段数量应与登录任务相称

登录页面通常只要求完成账号验证所需的资料。突然要求付款密码、完整订阅链接、远程控制权限，或让用户把验证码发给客服，都会扩大风险。

本站不设置登录框，也不接收账号、密码、验证码、Cookie、恢复码或付款资料。任何账号恢复只通过经营方认可的渠道完成。

保存一条不敏感的现场记录

记录核对时间、入口来源、最终网址、浏览器、网络类型和页面反馈。不要保存密码、令牌或验证码。

下次再遇到循环或错误时，比较这条记录，就能先判断变化在入口、浏览器会话还是明确账号反馈。