通用安全

通用安全用于配置应用在注册、登录、重置密码和多因素认证流程中的安全策略，包括注册防护、验证安全、密码安全和访问限制。所有配置仅对当前应用生效。

路径：登录 RootAuth 控制台 → 进入目标应用 → 点击顶部「配置」→「安全设置」→「通用安全」。

 

 

1. 注册防护

注册防护可减少重复注册、临时邮箱注册等风险，适用于邮箱注册场景。

1.1 校验 Google 邮箱唯一性

开启「校验 Google 邮箱唯一性」后，RootAuth 会将同一个 Google 收件箱的点号和加号别名视为同一邮箱，避免用户使用不同别名重复注册。该开关默认关闭。

• 仅适用于 gmail.com 和 googlemail.com 邮箱。
• 系统会忽略邮箱 @ 前的点号，并忽略 + 及其后的别名内容。
• 例如，name@gmail.com、na.me@gmail.com 和 name+test@gmail.com 会被识别为同一个邮箱。

1.2 阻止一次性邮箱注册

开启「阻止使用一次性邮箱域名注册」后，系统会拦截临时邮箱和一次性邮箱的注册请求。该开关默认开启。

您可以选择以下一种或同时选择两种判断方式：

判断方式	适用说明
使用 RootAuth 一次性邮箱判断库	默认选中。系统根据内置的一次性邮箱域名库拦截注册。
使用自定义一次性邮箱域名黑名单	按当前应用维护的域名列表拦截注册，适合补充企业自行识别的临时邮箱域名。

选择自定义黑名单后，在「邮箱域名黑名单」中添加域名。支持逐条添加和批量添加，至少保留一条有效域名后才能保存。

• @example.com：仅匹配 example.com 域名。
• .example.com：匹配 example.com 及其子域名。

 

2. 验证安全

2.1 人机验证

人机验证用于识别自动化请求，覆盖注册、登录、重置密码和多因素认证等场景。固定开启「用户始终需要在发送验证码和提交信息前通过人机验证」后，用户需要先完成人机验证，才能获取验证码或提交相关认证信息。

在「验证服务」中选择适合您部署区域和业务需求的服务商：

验证服务	可选模式	配置建议
腾讯云国内	滑块验证、无感验证	默认服务。适合应用请求主要来自中国大陆的场景。
腾讯云国际站	滑块验证、无感验证	适合海外部署场景，请按应用请求所在区域选择对应服务节点。
Cloudflare Turnstile	托管、非交互式、不可见	需要在 Cloudflare 控制台创建 Turnstile 小组件，并填写对应的站点密钥和密钥。

2.2 配置 Cloudflare Turnstile

1. 在 Cloudflare 控制台创建与所选验证模式匹配的 Turnstile 小组件。
2. 选择「托管」或「非交互式」时，分别为「获取验证码验证」和「信息提交验证」配置密钥。其中信息提交验证固定使用「不可见」模式。
3. 选择「不可见」时，只需创建一个不可见模式小组件，并填写一组站点密钥和密钥。
4. 返回 RootAuth 填写密钥后保存配置。

同一时间只能启用一个人机验证服务。切换服务后，请确认当前服务所需的验证模式和密钥均已配置完成。

 

2.3 验证码规则

验证码规则适用于注册、登录、重置密码和多因素认证中使用的邮箱和短信数字验证码。邮箱验证码与短信验证码共用同一套规则。

配置项	默认值	可设置范围与说明
验证码长度	6 位	可选择 4 位或 6 位。新生成的验证码均为纯数字。
验证码有效期	10 分钟	可设置为 1～30 分钟。验证码从生成成功时开始计时，超时后失效。
重新发送间隔	60 秒	可设置为 30～300 秒。用户再次获取验证码前需要等待；新验证码发送成功后，旧验证码立即失效。
验证码尝试次数	3 次	可设置为 1～10 次。超过最大尝试次数后，当前验证码失效，用户需要重新获取。

保存后，新规则会用于后续新生成的验证码，不影响已经发出的验证码。

 

3. 密码安全

密码安全用于统一设置通过密码完成注册、登录、修改密码和重置密码时的校验规则。

3.1 密码长度与格式

• 密码长度：设置密码最短和最长长度。默认最短 8 位、最长 20 位；可设置范围为 8～32 位，且最长长度不能小于最短长度。
• 密码规则：可选择「必须包含大小写字母和数字」（默认）、「必须包含字母和数字」或「不校验密码格式」。

 

3.2 修改密码校验

在「修改密码校验」中，选择用户修改密码时是否需要验证旧密码。默认选择「需要输入旧密码校验」。如您的应用通过 API 实现特定流程，也可选择「不需要输入旧密码」。

 

3.3 重置密码策略

在「重置密码校验」中，选择新密码是否允许与当前密码相同。默认不允许相同，能够避免用户重置后继续使用原密码；如业务需要，也可选择允许相同。

 

4. 访问限制

访问限制用于按请求 IP 的来源国家或地区，限制用户执行注册或登录操作。

4.1 启用国家或地区限制

1. 开启「启用国家或地区限制」。
2. 在「禁止访问的国家或地区」中搜索并选择需要限制的国家或地区。该列表支持多选和清除；开启限制后，至少需要选择一个选项才能保存。
3. 如需将来源无法识别的 IP 一并限制，选择「其他」。
4. 在「限制场景」中选择「注册」和/或「登录」。默认同时选择两项，至少保留一个场景。
5. 点击「保存」使规则生效。

命中受限国家或地区的用户无法继续所选场景的注册或登录流程。多因素认证不作为独立限制场景：用户在登录入口被限制后，不会继续进入登录后的多因素认证流程。

规则优先级：IP 黑名单 > 国家或地区限制 > 其他风险策略。

 

5. 保存与验证

• 本页各模块共用页面底部的「保存」和「重置」按钮。建议完成全部调整后统一保存。
• 保存后，可通过应用的注册、登录或重置密码流程验证配置效果，例如使用受限邮箱域名注册、获取验证码或从受限地区发起登录。
• 如同时启用多项规则，系统会按配置的优先级执行，避免因测试单一功能而忽略其他已启用的安全策略。