双重身份验证（2FA）为登录增加了一个额外步骤。用户输入密码后，还必须输入验证码。验证码来自身份验证器应用、短信或电子邮件。
本页介绍版本 17 及更高版本。
1. 启用双重身份验证
- 转到系统设置 > 登录选项卡 > 双重身份验证部分。
- 勾选启用双重身份验证。
- 在双重身份验证方式中，选择以下方式之一：
- “OTP 应用”：用户从身份验证器应用获取验证码，例如 Google Authenticator、Microsoft Authenticator 或 1Password。验证码每 30 秒更换一次（TOTP）。
- “短信”：用户通过短信获取验证码。
- “电子邮件”：用户通过电子邮件获取验证码。
- 在OTP 签发方名称中，输入用户在身份验证器应用中看到的名称，例如“My Company ERP”。
- 如果选择了“短信”，可以在OTP 短信模板中更改短信内容。使用
{{ otp }}作为验证码的占位符。 - 保存。
2. 设置验证码发送方式
每种方式都需要以下设置之一：
- OTP 应用和电子邮件：设置一个外发电子邮件账户。使用“OTP 应用”时，首次登录会通过电子邮件发送验证码。用户必须先输入此验证码，才能设置应用。
- 短信：设置短信设置。如果没有短信网关 URL，则无法保存“短信”方式。
3. 选择使用 2FA 的角色
启用 2FA 时，系统会为“全部”角色开启双重身份验证。届时所有用户都必须输入验证码，包括管理员。
如果只想让部分用户使用 2FA：
- 打开角色“全部”，取消勾选双重身份验证。
- 打开每个必须使用 2FA 的角色（例如“系统管理员”），勾选双重身份验证。
如果用户的某个或多个角色勾选了双重身份验证，则该用户必须输入验证码。
2FA 不适用于使用 API 密钥和 API 密钥密码的 API 请求。
4. 可选：限制 IP 地址
可以在用户上设置限制 IP，仅允许从特定 IP 地址登录。系统设置中的两个设置控制其与 2FA 的配合方式：
- 对从受限 IP 地址登录的用户跳过双重身份验证：从受限 IP 地址登录的用户无需输入验证码。
- 启用双重身份验证时跳过受限 IP 地址检查：用户使用 2FA 时可以从任意 IP 地址登录。也可以在用户表单中为单个用户设置此项。
使用 OTP 应用首次登录
首次登录时，用户在登录界面设置身份验证器应用。
- 输入用户名和密码，然后点击登录。
- 系统会向您的电子邮件地址发送验证码。在验证码中输入此验证码，然后点击验证。此步骤确保只有该电子邮件地址的所有者才能设置应用。
- 登录界面会显示一个二维码。打开身份验证器应用并扫描二维码。如果无法扫描，请在应用中手动添加账户，并输入二维码下方显示的设置密钥。
- 应用会显示一个 6 位验证码。在验证码中输入此验证码，然后点击验证。
必须在 5 分钟内完成这些步骤。如果超时，请刷新页面并重新登录。
二维码只显示一次。后续登录时，只需输入身份验证器应用中的验证码。
使用短信或电子邮件登录
- 输入用户名和密码，然后点击登录。
- 系统会向您的手机号码或电子邮件地址发送验证码。
- 在验证码中输入验证码，然后点击验证。
验证码有效期为 5 分钟。
丢失设备或更换新设备
如果用户丢失了手机或想使用其他身份验证器应用，请重置其 OTP 密钥：
- 打开用户。
- 点击密码 > 重置 OTP 密钥。
系统会向用户发送电子邮件，告知其重置情况。下次登录时，用户需按照“使用 OTP 应用首次登录”中所述重新设置身份验证器应用。
用户也可以在自己的用户表单中重置自己的 OTP 密钥。系统管理员可以为所有用户重置。
从版本 16 升级
- 设置链接电子邮件和
/qrcode页面已不存在。旧电子邮件中的设置链接将无法使用。未完成设置的用户将在下次登录时在登录界面完成设置。 - 设置二维码图片页面过期时间已不存在。
- 升级会从Home/Barcodes文件夹中删除旧的二维码图片。这些图片包含用户的 OTP 密钥。
常见问题
我已设置 OTP 应用，但无法登录
应用生成的验证码取决于您设备上的时间。请确保您设备上的时间准确并已自动同步。与服务器时间相差超过 30 秒可能导致验证码无效。
我没有收到包含验证码的邮件
请确保外发电子邮件账户工作正常，并检查您的垃圾邮件文件夹。如果验证码已过期，请刷新页面并重新登录以获取新的验证码。