升级验证

密码之后的第二步

这里的通行密钥是第二因素，绝不能单独用来登录：登录页面不提供通行密钥选项。可以用安全密钥代替。升级验证会先重新核对密码，因此只有设有密码的用户才能注册或证明一个因素。

敏感操作之前

一项操作可以要求第二因素。你用 foir operations update 及其 --second-factor 标志来设置该要求，它会在下一次发行版中进入生产。会话尚未证明某个因素的运行会被拒绝，错误为 FAILED_PRECONDITION，消息可以由你自己措辞。带有该要求的操作不能由钩子或定时计划启动。

每次登录某个应用时

每个登录应用在控制台中都有一个“要求 MFA”开关。开启后，在托管页面上用密码登录，只有在用户证明某个因素后才算完成。尚无因素的用户会在这次登录中注册，方式是使用通行密钥，或把二维码扫描到身份验证器应用中。

该开关也会把没有密码的人挡在外面。通过邮件验证码登录或通过身份提供方登录的用户，完全无法登录该应用。

不退出登录的升级验证

已登录的用户可以在会话中途注册因素或进行升级验证。他们重新输入密码并证明该因素，证明会添加到他们已持有的会话中。这需要会话建立在经过验证的自定义登录域名上。使用令牌流程的应用没有这样的会话，其用户要再次登录，通过要求第二因素的应用来获得第二因素。