代理系统相关安全验证需求

1.背景与目标

2026/10/12 15:00 左右，代理同事发现部分异常代理提款。这些代理是国内代理，登录 IP 突然跳到了境外，登录设备也比较集中。排查后确认是黑客恶意扫数据后登录。黑客拿到密码登录，并发起了提现。其中还有部分代理关闭了提现需要的验证。

代理登录使用验证器 2FA / MFA。后台按每个代理只有一个 2FA 开关和一个重置按钮。登录 2FA 和提现 2FA 都读取这同一个开关，也共用这同一个重置，不另做提现开关，也不另做提现重置。新增代理默认开启，已有代理全部为开启。开启后必须强制 2FA：未绑定先弹出密钥二维码完成绑定，已绑定后每次登录都要输入动态码，提现同样要 2FA。关闭后，该代理登录和提现均不需要 2FA。代理列表新增操作权限「2FA设置」「2FA重置」两项分开配置，可配置到具体岗位。提现短信验证开关保持现网：开启后每次提现仍先校验手机短信验证码，关闭后不校验短信。无论该开关开还是关，登录2FA 开启时，提现点下一步后都要再校验 2FA 动态码。代理端每 30 天强制修改一次密码。未满 30 天时提前 3 天在首页提示，可以稍后修改。满 30 天后只能去修改密码，不能稍后修改，不修改就退出登录。代理端 PC、H5 连续 60 分钟没有操作，自动退出登录。

2.改动范围

登录与提现流程

账号密码登录和提现进入页面前，按下面两张流程图判断。手机快捷登录不走这两张图。

登录：不在白名单、状态或账号密码未通过、动态码不正确，都停在登录前，不进入系统。动态码连续错误满 3 次，按密码连续错误满 3 次锁定账号。未绑定只弹出密钥绑定，绑定完成后再校验动态码。登录2FA 未开启时，不做 4、5 步，直接登录。登录结束后进入首页。未满 30 天、还剩 3 天时，首页弹出密码即将到期，可去修改或稍后修改。满 30 天后首页仍弹出，但只有「去修改密码」，不能稍后修改。

提现：可以先打开提现页。点下一步后，短信开关开启则先按现网校验手机短信验证码，关闭则跳过短信。短信验证码错误与现网一致，停留在短信验证，不进入 2FA，不锁定账号。无论短信开还是关，登录 2FA 开启时都再校验 2FA 动态码。未绑定直接拒绝，不弹出绑定，不提交。动态码不正确则拒绝。连续错误满 3 次，按密码错误满 3 次锁定账号。登录2FA 关闭后，提现不做 2FA，短信仍按开关走现网。

3.现网登录页

H5 现网页签是「账号密码登录」「手机快捷登录」。账号框右侧有下拉，密码可清除，记住密码默认勾选，页面底部有「联系客服」。不增加页签。

1. H5现网登录页

2. PC页面如下