系统安全配置
系统安全配置管理平台自身的访问安全（登录、密码、会话），与支付业务的支付安全与风控互不相关。菜单路径：系统管理 → 系统配置 → 系统安全配置。
页面左侧列出六个配置面板，右侧编辑保存；每个面板的标题下方常驻当前配置摘要标签，一眼看清现行策略。
密码策略
约束所有用户的密码复杂度与轮换：
| 配置项 | 说明 |
|---|---|
| 最小 / 最大长度 | 6~32 位，建议最小不少于 8 位 |
| 复杂度要求 | 大写字母、小写字母、数字、特殊字符可分别强制；勾选特殊字符后可自定义允许的字符集 |
| 轮换周期（天） | 密码有效期，0 为永不过期；修改后对所有用户下次登录生效 |
| 过期提醒天数 | 到期前 N 天在登录页与个人中心提醒 |
| 历史记录数 | 最近 N 次用过的密码不可重复，0 为不限制 |
与「初始密码」联动
新增用户 / 重置密码生成的随机密码也按此策略生成；密码到期后用户会被强制修改，见个人中心的过期提示。
登录安全
针对登录失败的防护：
- 失败锁定：连续失败达到阈值（1~10 次）后锁定账号一段时间（分钟级）；失败计数在统计窗口内没有新失败则清零。
- 验证码触发：失败达到阈值（不大于锁定阈值）后，登录页要求先过验证码，挫败暴力尝试。
锁定产生与解除的记录见日志与监控的「登录锁定」。
会话管理
控制登录会话的时长与并发：
| 配置项 | 说明 |
|---|---|
| 最大在线时长 | 单次会话最长存续时间（小时） |
| 最大活跃时长 | 无操作多久后失效，0 为不限制 |
| 最大并发会话数 | 同一账号同时在线的会话数（1~10） |
| 并发计数范围 | 全局共享（所有终端共用配额）或按终端独立（运营端与商户端分开计数） |
| 并发超限策略 | 允许新会话 / 踢出最早会话 / 拒绝新会话 |
被踢出的会话可在在线用户页观察到「已下线」。
双因素认证（2FA）
- 开关启用后，用户可在个人中心自行绑定 TOTP 动态口令（Google Authenticator 等认证器）。
- 可配置认证器中显示的发行者名称与备用验证码数量（10~20 个）。
- 平台未开启时用户侧不显示绑定入口；已绑定的用户不受关闭影响的策略以登录页实际表现为准（关闭后登录不再校验动态码）。
通行密钥（Passkey）
允许用户用指纹 / 面容 / PIN 免密登录，绑定后登录豁免两步验证：
| 配置项 | 说明 |
|---|---|
| 站点域名 | 通行密钥绑定的纯域名（如 admin.example.com，本地调试用 localhost），不带协议与端口 |
| 显示名称 | 系统弹窗中展示的站点名 |
| 访问地址 | 允许使用通行密钥的完整地址（协议 + 域名 + 端口），可填多个；运营端与商户端同时启用时两端地址都要加 |
域名变更代价
站点域名变更会导致已绑定的通行密钥全部失效，用户需重新绑定；保存时系统会再次确认。通行密钥要求页面为 HTTPS（本地 localhost 除外）。
防重放校验
防止登录、注册、改密等敏感操作的请求报文被截获重放：
- Nonce 有效期（秒）：平台签发的一次性随机值的有效时长；
- 时间戳容差（秒）：请求时间与服务器时间的最大允许偏差。
关闭即裸奔
关闭后所有标记防重放的敏感接口将跳过校验。仅在排查对接问题或内网隔离环境临时关闭，验证完立即恢复。