WiFi认证系统做实名认证，最常见的做法是短信验证码：用户输手机号、收验证码、通过认证，系统把这个手机号记为上网身份。但这里有个漏洞很多项目都忽略了——短信验证码验证的是"这个手机号能收到短信"，并不能证明"这个手机号是本人名下的"。一个人拿别人的手机号收个验证码，照样能通过认证，日志里记下的却是一个和自己无关的身份。对严格实名要求的场景来说，这样的实名是打了折扣的。
蓝海卓越V7统一认证计费系统在实名认证环节做了更进一步的设计：手机号、身份证、姓名三要素比对，防止假冒身份证号注册。所谓三要素比对，就是把用户填写的手机号、身份证号、姓名三样信息放到一起核验，确认这三样确实属于同一个人，而不是三个互不相关的字段拼凑出来的。手机号是谁的、身份证号是谁的、姓名是谁的，三样对上了，这个身份才可信。
为什么要做三要素，而不是两要素？身份证号加姓名是两要素，但身份证号本身是可以被别人知道的，姓名更是公开信息，两要素很容易被冒用。加上手机号之后，冒用难度就明显提高了：手机号是运营商实名制的，要和身份证号、姓名匹配上，意味着冒用者得同时掌握一个"跟目标身份证号绑定"的手机号，这在现实中很难拿到。三要素核验的本质，是把冒用成本抬高到不值得做的程度。
这里必须讲清楚一个能力边界：三要素比对是"核验三样信息是否匹配"，不等于"对接了公安实时数据库"。"手机号、身份证、姓名三要素核验"依赖的是数据源和核验通道，不同项目里数据源的类型、核验接口的开放程度、单次核验的时效都可能不一样。所以在项目沟通里，正确的话术是"V7支持手机号、身份证、姓名实名比对，防止假冒身份注册"，具体核验通道怎么接、数据源在哪、是否实时，要按项目现场确认，不能笼统地说成"系统可以实时查公安数据"。
从应用场景看，三要素实名比对标配在哪里？一是校园和园区的收费上网，开户实名和收费主体要对上，避免一个假身份账号欠费跑路；二是酒店、公寓的住客上网，实名记录要和入住登记一致；三是公共区域和政企访客网络，要求"谁上网、谁负责"可追溯到人。短信认证解决的是"能不能收到码"，三要素解决的是"这个身份是不是真的"，两者不是一个层面的东西，严格场景应该叠加使用。
还有一类现实问题：用户信息录入出错。姓名里的生僻字、身份证号最后一位X的大小写、手机号输错一位，都会导致三要素核验不通过。方案里要设计好失败后的流程：是让用户重新核对再提交，还是提供人工审核通道，还是允许先用临时身份上网再补全。如果失败就彻底拒绝，体验会很差；如果失败还能绕过，实名就形同虚设。这个平衡要在开户流程设计时定清楚。
最后提醒一句：三要素比对提升的是"开户那一刻"的身份可信度，它不替代后续的日志留存和审计。实名认证、认证日志、上网记录三者要打通成一条链：开户时三要素核验确定了"这个人是谁"，上网时认证日志记录了"这个人什么时候上了网"，审计平台把两者关联起来，才能做到真正意义上的可追溯。只做开户实名、不关联上网记录，实名就只是登记了而已。
实际运营里还有一个常见场景要和三要素区分开：存量用户的补实名。很多系统是先用短信认证跑起来的，用户已经用手机号开了户、上了网，后来监管或管理要求上来了，要把存量用户补成三要素实名。这时候不能要求用户重新注册，而是在用户下次登录时引导补全信息，或者通过自助服务入口让用户自助补充身份证号和姓名，后台再核验。补实名是运营动作，和开户时的核验机制不是一回事，但方案里如果漏了存量迁移这一步，实名率会长期上不去。
最后说清楚三要素比对和公安审计的关系。三要素比对是"注册环节的身份核验"，公安审计是"上网环节的日志报送"，两者是不同环节、不同链路。做了三要素比对，不等于自动满足审计要求；对接了审计平台，也不代表开户身份就可靠。一个完整的实名上网体系，注册核验、认证日志、审计报送三段都要做全，缺一段都是半套。和厂商沟通时，把这三段分开问清楚，比笼统问一句"能不能实名"要有效得多。
补一个成本角度的提醒：三要素核验是有通道成本的，按次调用，和短信验证码一样属于持续性的运营支出。方案阶段把核验量和预算挂钩算一笔账：日均开户量多少、存量补实名规模多大、单次核验成本多少，一年下来是笔不小的数字。有些项目为了省成本，只对收费开户做三要素，免费用户走普通短信，这也是一种务实的分级做法，但前提是监管要求允许，且免费用户的实名强度能满足管理底线。