很多单位对WiFi实名认证系统有个误区，觉得上了实名，所有WiFi就都得走那套严格的身份核验。实际上一个场所里，员工的内部WiFi、 VIP客户的便捷WiFi、纯访客的合规WiFi，诉求完全不同。把访客模式和实名模式硬捏在一起，要么员工被烦死，要么访客被卡死。两种模式怎么并存、边界怎么划、切换怎么顺，是方案设计里很见功力的一块。

两种模式的本质诉求不一样

实名模式的核心是合规，要能追溯到真实身份，流程上必然有采集和核验。访客模式的核心是便捷，让来的人最快连上、 least friction。一个商场，顾客进来想连WiFi发个朋友圈，你让他上传身份证扫脸，他扭头就走；但纯访客模式不留任何实名，又踩了合规红线。所以并存不是二选一，而是按场景分流：对外的公共区域走实名，对内的员工区域走内部认证，特定合作方走预授权。WiFi实名认证系统要支持多SSID、多认证策略，不同区域套不同模式，而不是全场一套。

用SSID做物理分流最干净

并存最稳妥的方式是不同模式对应不同的SSID。比如"Store_Guest"走实名，"Store_Staff"走员工账号，"Store_VIP"走预授权二维码。用户连哪个、走哪套，从网络层就分开了，互不干扰。我们做商场、酒店项目基本都用这个思路，比在同一个SSID里做逻辑分流清晰得多。逻辑分流的好处是少建网络，但坏处是策略容易串、出问题难定位。中小场所如果设备有限，也可以做单SSID内的角色分流，但一定要有严格的逻辑边界和测试覆盖。

访客模式的实名程度要够合规

说"访客模式便捷"，不代表可以不要实名。对外公共WiFi，哪怕叫访客，也得满足法定实名要求，只是采集方式可以更轻。一般做法是手机号+验证码，或者微信授权带实名（微信本身已实名）。我们强调，访客模式只是"认证流程轻"，不是"实名豁免"。设计时要确认当地监管对访客WiFi的实名最低要求，再把访客模式的流程卡在那个线上，不能再往下砍。有些单位把访客模式做成"点一下直接上网"，那是违规的，监管查到要罚。

员工模式要对接内部身份，别重复实名

员工连内部WiFi，不需要每次走手机号实名，应该直接对接统一身份认证。这样既合规（员工身份在HR系统里本来就是实名的），又省事。问题是有些单位的WiFi实名认证系统只支持对外实名那一套，员工也被逼着收验证码，天天骂。并存方案里，员工SSID要接内部身份源，认证走账号密码或者证书，不上短信验证。两种模式在账号体系上分源，但都进入同一套实名认证系统的管理后台，运维只管一个平台，不用来回切。

临时凭证和二维码是中间的灵活层

除了严格实名和内部账号，还有一种中间形态：给合作方、嘉宾、短期驻场人员发临时凭证或者二维码，扫一下连指定网络，有效期可控。这比让他们走完整实名方便，又比纯开放可控。WiFi实名认证系统要支持预开临时账号、设有效期、可随时废止。我们做会展、发布会项目经常用这招，给媒体发当日有效凭证，散场自动失效。这个灵活层正好填补了"内部员工"和"纯访客"之间的空白，让并存方案更完整。

模式切换要平滑，别让用户重连

用户可能从公共区走到员工区，或者VIP客人临时要进后台网络，模式之间最好能平滑过渡，而不是每次都断网重连。技术上可以通过同一账号多网络授权、或者设备记住后跨SSID复用会话来实现。我们建议在设计阶段就想清楚"用户移动"的场景，别等上线了发现人一走动就反复掉线。并存的终极目标不是几套系统各管各的，而是用户感知不到背后有几套模式，连上了就用，边界在后台默默生效。

各模式的留存和审计要分别达标

并存之后，不同模式的日志、实名数据要分别满足各自的留存和审计要求。访客模式按公共场所标准留，员工模式按内部安全管理留，临时凭证按有效期加一段缓冲留。WiFi实名认证系统要能按模式配置不同的留存策略和上报口径，不能一刀切。我们见过一个项目所有模式日志混在一张表，监管来查访客实名，结果把员工内部上网记录也牵连暴露，反而惹出新问题。分模式管理数据，既是合规要求，也是保护单位自己。

并存方案要画得出来、讲得清楚

两种甚至三种模式并存，听起来复杂，但落到方案上就是一张图：哪些SSID、各自什么认证、接什么身份源、数据怎么留、谁有权限管。这张图要能让管理者、运维、监管都一眼看懂。我们交付并存方案时，一定会配套一张网络与认证模式对照图，外加每种模式的配置说明。图清楚了，实施不串、运维不慌、检查不虚。并存不是把系统变复杂，而是把复杂性管起来，让它在该简单的地方简单，该严格的地方严格。