服务器认证状态机界面隐藏 ≠ 服务端拒绝
每个中间状态，都要有一条不能被打破的线
第一因素通过，不等于完整认证；正在恢复账号，也不等于可以修改所有安全设置。选择一个服务器状态和一个业务动作，观察安全不变量、预期响应与审计事件。
01 / 设置前置状态
服务器现在相信了什么？
使用方向键或 Tab 遍历状态，Enter / 空格选择。
02 / 选择操作
这个状态允许做什么？
判断口径：看服务端是否依据认证状态拒绝动作，而不是按钮有没有出现、前端路由有没有隐藏。
03 / 服务端事件
不记录秘密，也能说清发生了什么
| 序号 | 状态 | 动作 | 结果 | 事件类型 | 关联 ID |
|---|
04 / 两条容易松动的边界
多因素与恢复都不是“临时全权限”
挑战必须绑定账号、认证事务与用途，只能消费一次并按期失效；恢复凭据同样只服务于对应账号和单一用途。二者都不应直接放开已认证数据或任意安全设置。
等待第二因素
- ✓ 完成当前挑战
- ✓ 取消认证事务
- × 查看账号资料
- × 更换认证因素
正在恢复账号
- ✓ 验证恢复凭据
- ✓ 设置新密码
- × 读取历史数据
- × 绕过近期重新认证