输入框里光标一闪一闪，登录像在催人做决定。页面DOSS 的登录登录页面没有“记住我”选项，密码输错三次，页面账号锁定十分钟。登录这个设计在内部被讨论过很多次，页面产品经理坚持不改，登录理由是页面财务系统里每一条操作记录都关联着真实资金，宁可让用户多等十分钟，登录也不能让撞库攻击轻易得手。页面

页面的登录视觉层次很明确。最上方是页面深蓝色横条，左侧印着公司全称“东软数字办公服务系统”，登录右侧有个不起眼的页面版本号 v3.7.2。往下是登录居中的白色卡片，宽 420px，圆角 8px，阴影很浅。卡片里只有三样东西：用户名输入框、密码输入框、登录按钮。没有第三方登录入口，没有二维码扫码，没有短信验证码切换。这种克制在 2024 年的企业级产品里不太常见，但 DOSS 的用户群体是财务和人事专员，他们每天要登录七八次，复杂选项反而添乱。

用户名支持工号和手机号两种格式。输入时前端不做实时校验，只有点击登录后才统一提交。这个细节我专门问过开发团队，他们说早期版本试过边输边提示“格式错误”，结果用户抱怨“我还没输完你急什么”。后来改成静默提交，错误信息统一显示在按钮下方，红色 12px 字体，内容只有一句“用户名或密码不正确”。不区分具体哪个字段错了，也是安全策略的一部分——避免攻击者通过错误提示枚举有效工号。

密码框右侧有个眼睛图标，按住可以显示明文。这个功能上线前被安全部门驳回过，认为会增加肩窥风险。最终妥协的方案是：按住显示，松开立刻恢复掩码，且显示期间不记录任何日志。我试过几次，手指离开鼠标的瞬间，明文就变回圆点，反应很快，没有延迟。

登录按钮是深蓝色实心，悬停时变浅，点击后变成加载状态，文字从“登录”变成三个跳动的圆点。整个请求走 HTTPS，密码在前端用 SHA-256 加盐哈希一次，后端再 bcrypt 二次加密。这些技术细节用户看不到，但登录耗时能感觉到——平均 1.2 秒，比公司内部另一个 OA 系统快不少。

页面底部有一行灰色小字：“建议使用 Chrome 90+ 或 Edge 94+ 浏览器”。没有版权年份，没有备案号链接。最下方偶尔会出现一条系统公告，比如“10 月 1 日 00:00-06:00 进行数据库维护，届时无法登录”。公告用黄色背景条展示，可手动关闭，关闭后当天不再出现。

我见过有用户把登录页面截图发到工作群，问“为什么我的没有验证码”。其实 DOSS 从 2022 年起就取消了图形验证码，改用基于 IP 和设备的频率限制。同一 IP 十分钟内失败超过 20 次，直接封禁半小时。这个策略误伤过一些共用出口 IP 的分公司，后来加了白名单机制才解决。

页面没有任何动画过渡，没有背景图，没有品牌宣传语。加载速度很快，在 4G 网络下首屏渲染不到 0.8 秒。对于每天要登录的人来说，这种“无感”恰恰是最好的体验。登录成功后跳转到工作台，失败则停留在原地，输入框清空，焦点回到用户名栏。整个流程没有多余步骤，也没有“欢迎回来”之类的问候语。

有一次我故意输错密码，想看看锁定提示。结果只看到“用户名或密码不正确”，连“还剩几次尝试机会”都不显示。打电话问运维，对方说这是故意为之：“告诉用户还剩几次，等于告诉攻击者还剩几次。” 这种设计思路贯穿整个 DOSS，不讨好用户，但保护用户。

登录页面每季度会做一次可用性测试，最近一次测试报告里有个数据：87% 的用户在 5 秒内完成登录，平均击键次数 14 次。这个数字比行业均值低 30% 左右。测试员问用户“觉得登录快吗”，多数人回答“没感觉，点一下就进去了”。这大概就是 DOSS 登录页面的目标——让人注意不到它的存在。

(责任编辑：综合)