密码、验证码与保持登录，各自负责什么？

先看页面要求，再判断“验证码”指什么

日常表达中的“验证码”有时指短信或邮件中的一次性代码，有时指识别图片、拖动滑块等页面挑战。前者通常围绕接收渠道或认证步骤，后者往往用于区别自动化请求。OWASP 认证资料将多因素认证与 CAPTCHA 分开讨论；它们并不能仅凭中文名称相近就互相替代。

在实际使用中，先看页面说明的用途、接收方式和有效条件。不要推断所有站点都采用相同长度、相同有效时长或相同重发规则。本站没有连接任何账户系统，以下是理解界面的方法，不是对海角社区登录机制的功能说明。

把三种任务分开，错误才容易描述

密码或其他登录凭据回答的是“本次身份认证是否通过”；一次性代码可能是其中一个步骤；保持登录通常影响之后是否频繁要求重新认证。MDN 的会话示例说明，后续页面请求仍需由服务端判断会话标识是否有效。因此，界面上选择了保持登录，也不能据此承诺未来始终无需认证。

收不到代码时，别把每次重发混为一轮

如果页面确实提供发送代码功能，先核对自己选择的接收渠道与页面显示的脱敏信息。记录第一次请求时间、是否显示发送结果、是否存在倒计时。若页面允许再次请求，把第二次作为独立事件记录，避免收到多条信息后分不清对应哪一次操作。

这份记录不需要包含代码正文。你可以写“09:20请求，09:21收到，本轮未再次发送”，也可以写“页面显示已发送，暂未收到”。后者只是观察结果，不能据此认定发送服务失败；可能原因应由实际服务信息进一步判断。不要向陌生人索取可共用的代码。

保持登录应和设备使用方式一起考虑

在个人长期使用的设备与多人共享的设备上，对便利性的需求不同。选择之前先了解该服务的退出方式，使用结束后按自己的场景决定是否主动退出。保存密码与保持登录也应分开理解：一个涉及再次填写凭据，一个涉及已建立状态能否延续。记录时不要用“记住了”同时指代两者。

以下为虚构对比：甲说“密码已保存，但仍要再次确认身份”；乙说“上次会话仍有效，本次没有出现输入框”。两人可能都觉得“自动登录”，实际描述的是不同过程。把过程写清楚，更容易判断自己需要找的是密码管理说明、认证帮助，还是会话状态说明。