打开页面不等于登录成功
HTTP响应、重定向、账号验证与浏览器会话属于不同阶段。等待跳转停止，记录最终主机名与页面标题。
提交后返回入口时，先找明确提示，再检查会话，不要直接认定密码错误。
验证反馈保留原文
账号不存在、凭证错误、频率限制与验证过期对应不同动作。
记录不含敏感资料的提示、时间与设备，保持其他条件不变进行复测。
检查活动会话
OWASP指出认证后的会话会维持用户状态与权限。进入账号页后确认活动设备和退出行为。
公共设备使用后应退出；自己的设备也应确认系统时间与恢复渠道。
确认恢复条件
账号仍可访问时确认绑定渠道由本人控制，但不要复制或发送恢复代码。
保存最终地址、登录时间与设备作为以后比较的安全基准。