双因素认证（2FA）
DMHub 支持三种双因素认证方式，可单独使用或组合使用。
认证方式
| 方式 | 说明 | 依赖 |
|---|---|---|
| TOTP | 验证器 App 生成 6 位动态码 | Google Authenticator / Authy 等 |
| Passkey | 指纹 / 面部识别 / 设备 PIN | WebAuthn 兼容设备 |
| 邮箱验证码 | 系统发送 6 位验证码到注册邮箱 | 已配置 SMTP |
启用 2FA
进入「设置 → 2FA 安全」：
TOTP
- 扫描二维码或手动输入密钥到验证器 App
- 输入当前 6 位验证码
- 验证通过后启用
Passkey
- 点击「注册 Passkey」
- 按提示完成生物识别或设备 PIN 验证
- 注册成功后可添加多个 Passkey
邮箱验证码
- 确认注册邮箱已验证
- 点击「启用邮箱验证码」
- 输入收到的 6 位验证码
备用代码
启用 2FA 时自动生成 8 个备用代码（格式 XXXX-XXXX）。
重要：建议立即下载保存备用代码。每个代码只能使用一次。
备用代码管理
| 操作 | 说明 |
|---|---|
| 查看 | 在 2FA 设置页面查看剩余数量 |
| 重新生成 | 生成新码并在页面显示明文（当前码不失效） |
| 重新生成并下载 | 重新生成新码并下载 ZIP（当前码全部失效） |
备用代码使用 hash 存储，无法还原明文。下载时必须重新生成。
提醒机制
- 剩余 ≤ 2 个时提醒
- 剩余 0 个时强制提醒
登录流程
- 输入账号密码 → 验证通过
- 选择 2FA 方式（TOTP / Passkey / 邮箱验证码）
- 完成二次验证
- 登录成功
如配置了多种方式，可点击切换。
忘记 2FA
如果无法使用任何 2FA 方式：
- 在 2FA 验证页选择「请求管理员帮助」
- 选择一位管理员
- 提供备用邮箱并验证
- 管理员审批后，重置代码发送到备用邮箱
- 使用重置代码登录并重新配置 2FA
管理员重置
管理员可在「设置 → 成员管理」中直接重置某成员的 2FA，无需该成员操作。
被重置的成员下次登录时需要重新配置 2FA。