安全指南

在生产环境中配置 Autional 的安全最佳实践。

MFA 配置

Autional 支持 5 种 MFA 方式，可按租户配置：

自适应 MFA（风险引擎）

自适应 MFA 引擎会评估 10 类信号以判定认证风险：

• IP 风险—— 基于来源 IP 的风险评估
• 登录失败率—— 短时间连续失败的频率检测
• 新设备—— 首次出现的设备指纹
• 位置—— 地理位置风险评估
• 非常规时段—— 与常规活跃时段不符的登录
• 新国家—— 首次出现的国家/地区
• 速度异常—— 位置速度异常（不可能旅行）检测
• 凭据泄露—— 泄露密码检测（HIBP）
• MFA 方式变更—— MFA 方式变更检测
• 会话劫持—— 会话劫持检测

密码策略

可按租户配置的密码策略：

• 最小/最大长度、复杂度规则（大写、小写、数字、特殊字符）
• 密码历史（禁止复用最近 N 个历史密码）
• 有效期（可配置天数，到期强制重置）
• 泄露检测（HIBP 数据库比对）
• 账号锁定（阈值 + 锁定时长）

静态加密

字段级 AES-256-GCM 加密并支持密钥轮换；面向国密合规提供 SM4-GCM。

审计追踪

所有认证事件都会记录到不可篡改的 Merkle 哈希链审计日志中，并通过密码学验证确保防篡改完整性。