用途：保护电商客户账户，防止撞库攻击和账户接管。客户账户常保存支付方式、积分、购买记录和收货地址，价值高，是攻击重点。该技能按平台给出具体防护配置与实现方式。
主要能力：登录页暴力破解防护、泄露密码检测、可选多因素认证（MFA）、账户接管异常检测。
平台差异：Shopify 在平台层处理 SSL/TLS、登录暴力破解防护、PCI 合规与服务端安全，只需配置客户账户设置、是否要求手机验证，或用社交登录应用；可用“新客户账户”（无密码，6 位一次性验证码）消除撞库与暴力破解面；管理员可在 Settings → Users and permissions 开启两步验证。WooCommerce 内置登录表单无速率限制、MFA 和高级安全，需装插件：Wordfence Security（免费，启用 Brute Force Protection，默认 20 次失败锁定、锁定时长 4 小时、统计窗口 5 分钟，并支持管理员 TOTP 双重认证）或 Limit Login Attempts Reloaded；面向客户的 2FA 可用 miniOrange 2 Factor Authentication 或 WP 2FA；社交登录用 Nextend Social Login；泄露密码检测可用 WPassword 或对 HaveIBeenPwned API 自定义校验。BigCommerce 可开启管理员两步验证（Settings → Account Settings → Security），客户侧无原生 2FA，可用 Stencil 添加自定义验证步骤，或接入 Auth0、Okta 等身份提供方。自建或无头店面需自行实现全部控制：登录端点限流（示例用 @upstash/ratelimit 与 Redis 做 IP 与账户双维度滑动窗口）、Argon2id 密码哈希、基于 otplib 的 TOTP MFA、会话 Cookie 设置 httpOnly、secure、sameSite=strict，并在密码、邮箱、新设备登录、MFA 关闭等敏感变更时发送安全提醒邮件。
最佳实践与限制：尽量用无密码登录；用户不存在与密码错误返回相同错误以防枚举；MFA 建议对管理员和高价值账户要求而非全体客户强制；管理员凭据每季度轮换；常见坑包括 WooCommerce 无限流、TOTP 校验窗口过大、刷新令牌存 localStorage、通过邮箱变体绕过限流（需先规范化邮箱）。相关技能含 secure-checkout、fraud-detection、gdpr-ecommerce、bot-protection。