ypsdf1
c46c9ebdfe
第三层（新增，config.php 的 SEC_ACCESS_TOKEN）： - 只有 admin.php?token=<令牌> 才放行，缺/错令牌一律返回 nginx 原生 404 （与"文件真的不存在"逐字节一致，探测者无从判断），令牌检查置于白名单之前 - 登录接口在密码校验通过后才下发 token，2FA 通过与收银台跳转由服务端补拼 - 入口页加 Referrer-Policy: no-referrer，防令牌经外链 Referer 泄露 - 配置页展示后台唯一入口地址，支持一键重新生成令牌 第一层修复（2FA 验证码"无效"）： - secTotpVerify 容错窗口 ±30 秒扩到 ±90 秒 - 新增 secTotpDiagnose：失败时区分"密钥没对上"与"设备时钟偏移多少秒"并给出处置指引 - Base32 解码兼容空格/连字符与 0/1/8/9 手误，避免密钥被静默截短 - 验证页倒计时与服务器时间显示改用服务端时钟基准 - 密钥生成改幂等，"重新生成"二次确认，防止已扫码密钥被误作废 第二层（二维码）： - admin_2fa_setup.php 内联 qrcode-generator(MIT) 生成 otpauth 二维码，离线可用 - 后台侧边栏新增"安全配置"入口；admin_2fa_setup.php?boot= 在白名单 IP 下同样生效 已通过线上端到端验证 22 项 + 二维码 OpenCV 往返解码校验。