弱口令自检如何避开账号锁定?

弱口令自检最让人紧张的，不是没扫出问题，而是检查还没结束，业务账号先被锁了。我的原则很简单：先弄清楚锁定策略，再决定要不要尝试登录；如果策略不明，就别拿生产账号碰运气。

先查策略，再定范围

我会先和系统负责人确认哪些资产、账号和协议获准检查，以及维护窗口、联系人和应急处置方式。尤其要问清楚：认证失败如何累计、锁定后怎样恢复、是否有其他业务也在使用同一账号。域控、工单系统等对锁定敏感的节点，最好先排除，另行商定检查方式。

能不尝试登录，就先不尝试。例如，先请负责人核查默认凭据是否已修改，或检查账号管理记录。资产盘点和弱口令核验也应分开：前者只需要确认有哪些服务，不必顺手对每个账号发起认证。

把失败次数当成共享预算

如果确实需要认证核验，我会把目标收窄到明确授权的服务和账号，只检查有依据的少量候选凭据，而不是让工具反复穷举。账号可能正被其他正常登录或检查任务使用，因此测试前要协调，不能把锁定策略允许的失败空间全部留给自检。

低并发、低频率能减轻请求压力，却不等于不会锁号：失败次数仍可能累计。连接超时也不一定代表两次尝试之间有间隔，使用工具前应确认其实际行为；无法确认时，宁可暂停自动化核验。

出现异常就停

执行时，我会让负责人能及时查看认证告警和账号状态。一旦出现接近锁定、异常失败或服务负载升高的迹象，就停止测试并核查原因，而不是换个账号继续试。对疑似弱口令的结果，也不要反复验证；应与负责人确认，安排凭据重置，并按安全规范处理检查记录。

自检的目的，是减少风险，不是把业务账号当成试错工具。策略不清、恢复路径不明，或者没人能及时响应时，我宁愿先把这些问题补齐，再开始核验。