早上打开SM20，看到一串连续失败的登录记录，很多Basis团队对这种画面都不陌生。真正麻烦的地方不在于某个用户输错了一次密码，而在于攻击者、误操作、共享终端、固定客户端配置失控、重复对话登录这些因素会叠在一起，把一个看似普通的登录入口，慢慢变成系统安全里最容易被低估的薄弱点。SAP在登录安全这块给出的思路很清楚，失败次数要有限制，会话要能终止，用户要能锁定，日志要能追，空闲会话要能自动退出，必要时还要允许你通过增强把公司自己的规则补进去。把这些点连起来，未授权登录这件事才算真正被管起来了。(SAP Help Portal)
很多项目里，安全问题不是出在复杂的加密算法，而是出在最朴素的入口控制没有形成闭环。财务共享中心的一台前台机，白天轮班使用，用户离开工位时SAP GUI还挂着。运维同事把密码策略调得很严，可空闲会话不退出，屏保又没有密码保护，风险照样存在。另一类常见场景是接口用户、测试用户、普通对话用户混在一起使用同一套登录限制，结果运维为了避免夜间作业被锁，只能把整个系统的阈值调得非常宽松，等于把真正需要保护的对话用户也一起放松了。登录安全做得成熟的系统，通常不是靠某一个参数取胜，而是把参数、日志、审计、前端控制和例外机制配合起来。Security Audit
