认证与 Cookie

所属入口：管理 -> 系统设置 -> 认证与 Cookie。其他分组和生效时机见 系统设置。

这一组决定浏览器登录体验和会话安全。

• 认证 Cookie 仅 HTTPS 发送 —— 新安装先默认关闭以允许 HTTP 首次登录；从 HTTPS 来源创建管理员时会在自动登录前开启。正式环境保持开启，只有本地或内网纯 HTTP 环境才保持关闭
• 访问令牌有效期、刷新令牌有效期 —— 控制登录态维持多久
• 注册激活链接有效期
• 邮箱改绑链接有效期
• 密码重置链接有效期
• 验证邮件重发冷却时间
• 密码重置请求冷却时间
• 要求邮箱验证码 MFA —— 需要邮件投递配置完整。开启后，已验证邮箱且未启用 TOTP 的用户可以在密码或外部身份登录后，通过 8 位邮箱验证码完成二次验证
• 允许 TOTP 使用邮箱兜底 —— 允许已经启用认证器的用户在 MFA 登录页选择邮箱验证码。安全要求高的站点可以保持关闭
• 邮箱登录验证码有效期 —— 默认 10 分钟；实际有效期不会超过当前 MFA 登录流程剩余时间
• 邮箱登录验证码重发冷却时间 —— 默认 60 秒

正常部署多数时候只需要确认 Cookie 安全要求和链接时效符合你的站点策略。

邮箱验证码依赖邮件安全

邮箱验证码 MFA 只有在 SMTP 能稳定投递、用户邮箱已经验证时才有意义。开启前先到 邮件投递 发一封测试邮件，并确认 登录邮箱验证码 模版内容符合你的站点说明。