多种第二因素
TOTP 动态口令（可用 Casdoor 令牌 App 或其他验证器 App）、短信验证码、邮箱验证码，以及 RADIUS 多因素认证。
免密码登录
Passkey（WebAuthn）用指纹、面容或安全密钥登录，还支持人脸识别和邮件魔法链接。
按组织强制开启
管理员可以要求某个组织的所有用户必须绑定多因素认证，未绑定的用户登录时会被引导完成设置。
UKey 与数字证书
企业版支持 UKey 和数字证书登录（CFCA 和各地 CA）、批量导入硬件 OTP 令牌，以及可换成自有品牌的令牌 App。
支持的认证方式
- TOTP 动态口令
- 短信验证码
- 邮箱验证码
- Passkey / WebAuthn
- 人脸识别
- 邮件魔法链接
- RADIUS 多因素认证
- 恢复码
- UKey（企业版）
- 数字证书（企业版）
- 硬件 OTP 令牌（企业版）
- 推送确认（企业版）
为什么要开启多因素认证
撞库、钓鱼和弱密码让单靠密码的登录越来越不可靠。多因素认证要求用户同时提供两类以上的凭据：知道的东西（密码）、拥有的东西（手机、令牌、UKey）和本人特征（指纹、人脸）。攻击者即使拿到了密码，没有第二因素也登录不进来。
在合规方面，等保 2.0 三级要求采用两种或两种以上组合的鉴别技术对用户进行身份鉴别，其中一种至少应使用密码技术来实现。把多因素认证放在统一认证平台上做，所有接入单点登录的系统一次性满足这条要求，不用逐个系统改造。
风险登录告警
商业版在多因素认证之外，还会识别异地登录和新设备登录，把告警推送到企业微信或钉钉；员工也可以在企业微信、钉钉、飞书里通过消息卡片一键确认登录。
常见问题
Casdoor 支持哪些多因素认证方式？
开源版支持 TOTP 动态口令、短信验证码、邮箱验证码、Passkey（WebAuthn）、人脸识别和 RADIUS 多因素认证。企业版另外支持 UKey、数字证书登录、硬件 OTP 令牌和自有品牌令牌 App 的推送确认。
能只对部分用户强制开启吗？
可以按组织设置。比如只要求管理员组织或某个子公司的用户必须开启多因素认证，其他组织保持可选。
多因素认证能满足等保三级吗？
等保三级要求两种以上组合的鉴别技术，并且其中一种使用密码技术。常见做法是“口令 + 基于商用密码的 UKey 或数字证书”，这需要企业版的国密与数字证书登录能力；具体方案以测评机构的意见为准，我们可以配合测评。
相关方案
等保 2.0 合规
用 Casdoor 统一满足等保 2.0 三级的身份鉴别、访问控制和安全审计要求：多因素认证、登录失败处理、三员分立、防篡改审计日志、配置核查清单，企业版配合等保测评。
国密与密评
Casdoor 企业版支持国密算法：SM2 签发 JWT 和 SAML 令牌、SM3 密码哈希、SM4 加密敏感字段、国密 TLS，对接密码机和签名验签服务器，支持 UKey 和数字证书登录，配合密评。
单点登录（SSO）
Casdoor 单点登录系统支持 OAuth 2.0、OIDC、SAML、CAS、LDAP、RADIUS，企业内部系统、SaaS 和老系统统一登录，支持单点登出和多因素认证，可私有化部署。
企业版
Casdoor 企业版私有化部署，不限用户数，包含国密与密评、等保 2.0 三级合规、人事和 OA 连接器、老系统表单代填、账号与权限治理、特权账号管理，提供 7×24 支持和定制开发。
把登录和权限，交给 Casdoor
登录、单点登录、多因素认证、权限管理和 AI 智能体的访问控制，都放在一个平台上，部署在您自己的环境里。