...
- 强化密码泄露防护：即便密码遭窃取，攻击者仍需突破第二层验证，极大降低了单纯因密码泄露导致账户被入侵的可能性。而密码多次错误即锁定账号这一机制，可有效阻止攻击者通过不断尝试密码进行暴力破解，进一步强化了密码泄露后的防护。
- 抵御自动化攻击：机器人或暴力破解工具难以同时绕过密码和动态验证（如实时生成的动态码），密码多次错误即锁定账号也增加了攻击者的破解成本和时间，有效降低了系统被突破的风险。
- 满足安全合规要求：能够满足 GDPR、HIPAA 等法规对敏感数据保护的要求，避免法律风险，同时密码多次错误即锁定账号等措施也体现了对账户安全管理的严格把控，符合合规标准。
...
双因素验证
设置项说明
用户登录管理功能，根据其主要作用可分为 “双因素验证”和“登录锁定”两部分。
双因素验证
| 注意 | ||
|---|---|---|
| ||
1、双因素验证功能当前为beta版本，移动端、插件端（电子表格/分析报告）暂不支持；开启后将导致移动端、插件端无法正常登录。请谨慎开启！ 2、双因素验证功能与单点登录功能不兼容，若使用了CAS、LDAP/AD、OAuth等扩展包或在第三方系统中实现了单点登录Smartbi的逻辑，则开启双因素验证功能后可能会导致登录异常！ |
...
设置项
...
说明
...
默认值
启用双因素验证
【作用】
双因素验证默认不启用，当对用户登录安全性要求较高时启用，支持3种双因素验证方式：
- 短信验证：通过用户名+密码+短信验证码进行登录；短信验证码会以短信的方式发送到用户预留在系统中的手机号码。
- 邮件验证：通过用户名+密码+邮件验证码进行登录；邮件验证码会以邮件的方式发送到用户预留在系统中的邮箱账号。
- 文字验证：通过用户名+密码+
...
- 动态文字验证码进行登录；动态文字随机生产并直接在界面上显示。
...
双因素验证具体使用效果及限制：
...
1、短信验证：
...
前置条件：
| 注意 | ||
|---|---|---|
| ||
开启短信验证：需确保已配置好短信服务（参考 信息推送渠道-短信），并且用户信息中已配置好用户的“手机号码”属性 开启邮件验证：需确保已配置好邮件服务（参考 公共设置-邮件设置），并且用户信息中已配置好用户的“邮箱”属性 |
...
文字验证：通过用户名+密码+动态文字验证码进行登录。
...
不启用
...
短信验证码短信模板
...
配置给用户发送短信时，短信的内容模板，启用短信验证必须配置“短信验证码短信模板”，否则无法正常发送短信。详细说明可参考：使用短信验证码模板。
...
无
...
邮件验证码邮件模板
...
配置给用户发送邮件时，邮件的内容模板，启用邮件验证必须配置“邮件验证码邮件模板”，否则无法正常发送邮件。详细说明可参考：
...
1、参考 接入短信服务 接入短信服务，并配置好需要的短信服务模板。
2、参考使用短信验证码模板 ，在“短信验证码短信模板”设置中，选择对应的模板，配置好参数映射，
动态参数支持：验证码，有效时间。
3、在“用户管理”功能中（参考 用户），配置好用户的“手机号码”属性。
应用效果：
2、邮件验证：
前置条件：
1、参考 公共设置-邮件设置 配置好发送邮件的服务器等信息。
2、参考下图，在“邮件验证码邮件模板”设置好对应的邮件发送模板
应用效果：
3、文字验证：直接启用即可使用。
应用效果：
登录锁定（202505发布）
登录锁定提供 “密码错误次数超限锁定”、“未登录天数超限锁定”两种锁定策略，及 “管理员解锁”功能。
| 分类 | 设置项 | 说明 | 默认值 | |||||
|---|---|---|---|---|---|---|---|---|
| 密码错误次数超限锁定 | 密码错误次数限制（次） | 【功能】 限定用户登录时密码错误次数，达到设定值即锁定对应IP或账号。 可输入值范围：1 (含) - 10 (含)。 | 5 | |||||
| 密码错误次数超限后锁定时长（分钟） | 【功能】 设置账号或 IP 因密码错误超限被锁定的时长。锁定时长结束后，自动解锁。 可输入值范围：1 (含)-1440 (含)。 | 5 | ||||||
| 密码错误次数超限后锁定对象 | 【功能】 设置因密码错误超限被锁定的对象是账号还是IP。
| 账号 | ||||||
| 未登录天数超限账号锁定 | 锁定未登录天数超限的账号（天） | 【功能】 设置账号在未登录达到一定天数后被锁定。 可输入值范围：1 (含) ~ 2650 (含)；置空表示不进行锁定。
| 空 | |||||
| 管理员解锁 | 【功能】 支持对被锁定的 IP 和用户账号进行手动解锁，以恢复其正常访问和使用。
①搜索：支持输入关键词进行搜索，搜索内容为“锁定对象”列。 ②全部解锁：支持对系统中所有锁定的IP和账号进行一键解锁。 ③刷新：点击刷新列表 ④锁定列表：列表显示系统中所有的锁定对象及其相关信息。 其中仅“密码错误次数超限”的锁定对象存在“自动解锁时间”；“自动解锁时间””根据账号/IP被锁定的时间和 设置项“密码错误次数超限后锁定时长（分钟）”相加得到。 ⑤解锁：支持对单个锁定对象进行解锁。解锁后需刷新登录界面再进行登录操作。
| |||||||
...
