账户安全与两步验证
两步验证（2FA）会在账号密码之外再增加一道动态验证码校验，即使密码泄露，攻击者也无法直接登录你的账号。Glow Prow 的两步验证兼容 Google Authenticator、Microsoft Authenticator、1Password、Authy 等主流认证器应用。
入口
登录后访问 个人中心 → 账户安全 → 两步验证（/account/security/twofa）。同一安全中心内还可以管理第三方平台绑定与登录会话。
启用两步验证
- 打开页面确认当前状态为「未启用」；
- 点击「启用」，先输入当前账号密码完成确认；
- 使用认证器扫描页面二维码；无法扫码时，可复制「手动密钥」手动录入；
- 保存页面展示的恢复码；
- 在步骤 3 的输入框中填写认证器当前显示的 6 位验证码，点击「确认启用」。
注意：设置流程的临时令牌有效期为 10 分钟，超时后需要重新点击「启用」重新开始。
登录时验证
- 输入账号与密码后，已启用两步验证的账号需要再输入一次 6 位动态验证码；
- 验证码每 30 秒更新一次，校验时允许前后各一个时间窗口的偏差，请确保认证器所在设备的时间已自动同步；
- 登录表单上的「我信任此电脑」：勾选后，7 天内在该浏览器登录无需再次输入验证码。公共电脑请勿勾选；
- 验证通过后 3 小时内，同一账号可免于重复验证。
恢复码
- 启用时生成 10 个 8 位一次性恢复码，每个恢复码仅可使用一次；
- 使用过的恢复码会被标记为已使用，其余恢复码不受影响；
- 恢复码只在生成时展示一次，服务端仅存储哈希值，关闭页面后无法再次查看。
重新生成与禁用
- 重新生成恢复码：需要输入当前密码并二次确认，生成后旧的恢复码与旧密钥立即全部作废；
- 禁用两步验证：需要输入当前密码并二次确认，禁用后登录不再要求动态验证码。
常见问题
验证码一直提示无效？ 请先确认认证器与系统时间已开启自动同步，再使用最新生成的验证码重试。
设置过程中提示令牌已过期？ 设置令牌只有 10 分钟有效期，重新点击「启用」即可，已启用的状态不受影响。
两步验证页面为什么没有「我信任此电脑」？ 信任设备只在登录表单勾选，用于减少后续登录的验证次数；安全设置页面不会提供该选项。