短信验证

短信验证是一种多因素认证方式。开启后，用户在输入正确的账号密码后，还需要输入发送到绑定手机号的一次性验证码，才能完成登录，为账户增加一道安全防线。

路径：控制台 → 进入具体应用 → 顶部导航「配置」→「安全设置」→「多因素认证」

 

1. 应用配置

1.1 开启短信验证

• 在「因素管理」区域，找到 「短信验证」 卡片，点击右侧的开关将其 开启。

• 开启后，系统会要求该应用下的用户在密码登录时进行二次验证。第三方登录和验证码登录不受影响。

• 如果当前使用 RootAuth 内置短信服务，开启后会直接生效，并提示「开启短信验证因素成功」。

• 如果当前已配置自定义短信服务商，开启短信验证时需要填写「登录二次验证码」模板 ID。保存后，RootAuth 会同步模板配置，并启用短信验证。

提示：短信验证、电子邮箱验证和 OTP 可独立开启或关闭，互不影响。

 

1.2 关闭短信验证

• 将「短信验证」开关关闭。

• 关闭前，系统会弹窗进行二次确认。确认后即关闭该因素，并提示「关闭短信验证因素成功」。

• 关闭后，用户密码登录时不再触发短信二次验证。

关闭短信验证不会删除用户已绑定的手机号，也不会删除已保存的短信服务配置和模板配置。

 

1.3 配置短信模板（可选）

当启用短信验证时，您可以配置二次验证码短信模板。

• 路径：品牌化 → 短信 → 国内短信服务 / 国际短信服务。

• 在服务商配置中，找到 「二次验证码」 模板 ID。

• 如使用内置短信服务，无需填写模板 ID，系统会使用 RootAuth 内置短信模板。

• 如使用阿里云短信、腾讯云短信或 Ucloud短信，请根据当前服务商填写对应模板 ID。

注：如果先开启短信验证，再配置自定义短信服务商，则「二次验证码」模板 ID 为必填。否则短信 MFA 可能无法正常发送验证码。

 

1.4 配置手机号区号策略

短信验证需要使用用户手机号。首次绑定手机号时，区号下拉框会遵循登录控制中的「允许登录区号」配置。

• 路径：应用管理 → 登录控制 → 手机号区号策略。

• 如果用户尚未绑定手机号，首次进行短信 MFA 时，只能选择「允许登录区号」中配置的区号。

• 区号展示格式为「+区号 国家/地区名称」，例如 +86 中国。

 

2. 用户认证流程（应用用户）

2.1 前提条件

• 应用已开启短信验证。

• 用户本次使用账号密码方式登录。

• 当前应用的短信服务配置可正常发送验证码。

 

2.2 首次绑定手机号

1. 用户在应用登录页输入正确的账号和密码，点击登录。

2. 系统验证账号密码正确后，跳转至「登录二次验证」页面。

3. 如果用户尚未绑定手机号，页面会提示用户输入手机号进行绑定并获取验证码。

4. 用户选择区号、输入手机号，并点击 「获取验证码」。

5. 用户输入收到的短信验证码，点击 「确定」。

6. 验证通过后，手机号完成绑定，用户登录成功并跳转到应用回调地址。

2.3 已绑定手机号的验证流程

1. 用户在应用登录页输入正确的账号和密码，点击登录。

2. 系统验证账号密码正确后，跳转至「登录二次验证」页面。

3. 页面展示用户已绑定的脱敏手机号，例如 +86 134****9804。

4. 用户点击 「获取验证码」，系统向绑定手机号发送短信验证码。

5. 用户输入收到的验证码，点击 「确定」。

6. 验证通过后，登录成功，跳转到应用回调地址。

如果同时启用了其他因素验证方式：用户可以在二次验证页面通过 Tab 切换选择使用其中一种方式进行验证。展示顺序为 OTP 验证、邮箱验证、手机号验证。

 

2.4 重新发送验证码

• 如果用户在 60 秒内未收到短信，或验证码过期，可以重新获取验证码。

• 按钮会进入 60 秒倒计时，倒计时结束后方可再次点击。

 

2.5 验证码规则

• 同一 IP 1 小时内发送验证码超过 60 次，将触发安全策略。

• 连续 6 次输入错误的验证码（开启的因素累计），账号将在 1 小时内无法登录。

 

3. 用户详情页的管理

管理员可以在用户详情页查看用户的短信验证绑定状态。

路径：用户管理 → 用户列表 → 点击用户进入详情 → 找到 「多因素认证」 模块

• 查看：若用户已通过短信验证方式进行多因素认证，此处会显示其脱敏手机号。

• 重置：短信验证当前不支持在该模块中重置。

• 全局绕过开关（关闭/开启用户多因素认证）：与其他验证方式共享同一个开关。关闭后，用户将绕过所有 MFA；开启后，用户恢复遵从应用 MFA 配置。

手机号本身不会因为关闭短信验证而删除。若需要修改用户手机号，请在用户详情的基础信息中进行编辑。

 

4. 日志与审计

开启短信验证后，用户的行为日志会记录相关事件：

• 事件类型：二次认证-短信

• 记录字段：用户、IP、国家、时间、结果（成功/失败）、失败原因。

您可以在 审计日志 → 用户行为日志 中查看这些记录。