支付宝的支付流程逻辑是不是有问题？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3802 天前的主题，其中的信息可能已经有所发展或是发生改变。

碰到无数次了，在付款的时候，跳转到支付宝页面后先让登陆帐号，要求使用帐号和支付密码，没错，是支付密码，然后付款继续要求输入支付密码，然就付款OK了！然后就会发现竟然没要登录密码！是不是不需要首先验证登录密码的就可以直接凭借支付密码付款？这个逻辑是不是有问题？

例子：铁道部那个万人唾弃的购票网站的支付流程

支付

付款

密码

21 条回复 • 2014-10-30 22:50:59 +08:00

caomeen

2014-08-01 20:13:24 +08:00

第二次可以选择用什么方式支付（支付宝余额/余额宝）以及用哪个银行，顺便验证数字证书。

Lentin

2014-08-01 20:19:27 +08:00

一般要短信认证的吧。。。

liyandong

2014-08-01 20:20:52 +08:00

@caomeen 我的意思是只需要一个密码就可以把我的钱钱花出去了呢！

Quaintjade

2014-08-01 20:20:56 +08:00

支付宝是这个流程啊，淘宝不一直是这样的吗？PayPal好像也是这样。
支付的时候只需要输入支付密码就行了，反正支付完之后就会退出，并不实际登录支付宝。

liyandong

2014-08-01 20:21:13 +08:00

@Lentin 大额会通知，小额木有

liyandong

2014-08-01 20:22:13 +08:00

@Quaintjade 那明显可以减少一次输入密码的步骤哇

cnallenzhao

2014-08-01 20:23:28 +08:00

这个知乎问答，是他们员工的解释
http://www.zhihu.com/question/20289013/answer/14701506

Wy4q3489O1z996QO

2014-08-01 20:23:39 +08:00

好像之前有人说过，很多淘宝用户只知道淘宝登陆密码和支付宝支付密码。

Wowbeing

2014-08-01 20:24:26 +08:00

@liyandong 第二次有可能是想支付人的再确认一次。

cnallenzhao

2014-08-01 20:24:36 +08:00

囧，好像指向的答案有问题。你可以参考下？

9hills

2014-08-01 20:40:02 +08:00

现在都是看到那个支付页面，支付宝客户端扫二维码支付了。不要太简单

NemoAlex

2014-08-01 20:48:41 +08:00

错了就是错了，还振振有词找借口
不管怎样，让用户输入两遍支付密码，就是流程设计上错误
找那么多借口，其实就是设计水平不够、大公司病太严重罢了

akfish

2014-08-01 21:07:44 +08:00

这肯定是设计上的不一致，从这个角度是有错的。
至于对安全性的影响，个人认为不见得。

很简单的一个反例就是，国外的信用卡支付不需要任何密码，但反而对用户财产的安全更有利。
因为如果用密码进行的支付，银行无从知晓支付是否由用户发起，所以从法律的角度来讲银行会免责，持卡人则要承担保护不当的责任。而通过签名认证，看似没有那么安全，但是可以有效的证明支付是否得到用户授权，即使被盗刷也能得到一定程度的赔偿。

支付系统/信用系统这种东西，计算机软硬件只是其中的一环而已，整个系统的安全才是真的安全。
假如一个系统只需要一个密码，50%的概率被盗刷，90%的盗刷能被识别，用户能得到补偿。
而另一个系统要求两个强密码，10%的概率被盗刷，但90%的盗刷不会得到赔付。
作为用户你会选哪种？

所以从密码安全性这个问题上跳出去，反而能得到更好的用户体验和安全保障，其实支付宝这个八成就是用户体验和最初的设计冲突了。