workos-mfa

用途：为应用添加多因素认证（MFA），适用用户名/密码或魔法链接等非 SSO 认证用户。主要能力：支持 TOTP（Google Authenticator、Authy 等）与 SMS（短信验证码）两种因子；通过 enrollFactor() 注册因子、challengeFactor() 创建挑战、verifyChallenge() 验证挑战，并在用户表中持久化 factor ID。使用方式：需配置 WORKOS_API_KEY（sk_ 开头）与 WORKOS_CLIENT_ID（client_ 开头）环境变量，安装 @workos-inc/node 或 @workos-inc/python SDK；TOTP 返回 qr_code（base64 数据 URI）和 secret，SMS 要求 E.164 格式（+1234567890）且挑战 10 分钟过期。登录流程中，若用户有 mfa_factor_id 则跳转 MFA 验证页，验证 valid: true 后才创建会话。限制与注意：不要对 WorkOS SSO 用户使用 MFA API（其 MFA 由 IdP 处理）；挑战不可重复验证，过期后须新建挑战；手机号须为 E.164 格式，验证码为 6 位数字；建议对验证端点做限流（每挑战最多 5 次）、不暴露 factor ID、不记录 OTP。详细文档以官方 MFA 文档为准。