为用户账户区域设置双因素登录验证

我们运营一个网络平台，拥有注册用户的个人账户区域，目前登录只需要密码。我们希望添加第二个验证步骤，以便账户不能仅凭被盗密码访问。主要场景是由用户手机上的身份验证器应用生成的基于时间的代码，在每次新登录或会话过期后，密码输入后立即输入。

除了身份验证器流程，我们还需要一个安全网，以防人们丢失手机或重新安装：在设置时生成的一次性备份代码，显示一次，每个代码只能使用一次以重新登录。如果设备确实丢失，还应该有一种合理的方法来禁用和重新注册双因素保护，而不是让攻击者轻易绕过。

强制执行与机制同样重要：普通用户应该能够自愿从账户设置中启用此功能，但具有提升权限的账户——版主、员工、任何访问超出自己数据的人——必须强制执行，界面拒绝让他们在登录后跳过设置。

我们期望工作包括：
— 使用二维码和手动密钥输入的身份验证器应用注册
— 登录时的代码验证，具有合理的过期和重试限制
— 一次性备份代码，生成一次并安全存储
— 设备丢失恢复流程与重新注册
— 对提升访问角色的强制执行
— 在设置过程中为普通用户提供清晰、简单的说明