- Порезанный
- 3 августа 2026 г. в 15:09 UTC
- Автор
- Kamo
- Обещать
- 3cb118c
SecurityService теперь подключается ко второму фактору (§ 164.312(d)). Когда один из Создает сеанс, но удерживает свой одноразовый ключ, возвращая Вместо этого недолговечный токен вызова - сессия, для которой никто не держит OTK недостижимым. Этот BFF ожидал OneTimeKey безоговорочно, поэтому вызов MFA попал в игру. ветвь «без сессионного ключа» всплыла пользователю как 500. Теперь распознает вызов и передает клиенту mfaRequired/mfaToken. /api/login/mfa завершает работу. С OTK он повторно использует существующий логин. Передача маршрута дословно — разрешить *** от Redis, очистить устаревшие файлы cookie, установить новый — потому что две реализации сессий будут дрейфовать, а та, которая используется Менее часто это будет тот, кто гниет. Неправильный код возвращает 401 с mfaRequired по-прежнему верным и тем же mfaToken: Служба безопасности намеренно не использует вызов на неудачу, поэтому Пользователь перезаписывает код, а не пароль. Навязывание повторного пароля над одним Опечатка - это то, как люди в конечном итоге отключают MFA. Инертный, пока кто-то не зарегистрируется; никто не имеет.