Web 应用程序中的双因素身份验证和账户保护

我们运行一个成熟的 Web 应用程序，使用经典的电子邮件和密码登录，我们希望将账户安全提升到现代标准。该项目的目标是设计和实施一个功能齐全的双因素身份验证层，以及一套账户保护功能，仔细集成到我们现有的用户模型和会话逻辑中。我们不需要一次性的原型：我们需要生产质量的代码、合理的默认设置和一个方便的场景，适合那些不理解安全性的普通用户。所选承包商需与我们当前的技术栈合作，遵循项目中采用的代码约定，并交付一个我们团队在交接后可以维护的结果。

特别需要与常见身份验证器应用程序兼容的 TOTP 支持，通过电子邮件发送的一次性代码作为替代的第二因素，以及用户可以打印或保存的一次性备份代码，以防他们丢失设备。设置应为逐步和可逆的：通过 QR 交付的密钥、在 2FA 实际激活之前的强制验证步骤，以及一个清晰的恢复路径，不会让某人永远被锁定。同时，我们期望适当的会话管理：可读的活动会话和设备列表，能够远程终止其中任何一个，以及在新设备出现或有异常登录尝试时通知所有者的登录警报。所有这些应遵循当前的最佳实践，包括密钥存储、速率限制以及防止暴力破解和代码重用。

交付物包括一套可用的功能、数据库迁移、适当的管理切换、关键场景的自动化测试以及我们团队的简要文档。在您的回复中描述与身份验证和安全相关的经验，以及如果用户同时丢失设备和备份代码时的访问恢复方法。

— 通过身份验证器应用程序的 TOTP 和通过电子邮件的一次性代码作为第二因素
— 一次性备份恢复代码的安全再生
— 逐步和可逆的设置，带有 QR 交付和验证步骤
— 活动会话和设备的列表，带有远程终止功能
— 新设备和可疑登录尝试的登录警报
— 速率限制、暴力破解保护和代码重用防止，安全的密钥存储