不限制两因素验证码的速率,允许 TOTP 裁减暴力攻击 (TwoFactorController::check)

概要

密码表单由 UserLockingModel (在 BRUTEFORCE_CAPTCHA=3 后的 CAPTCHA,在 BRUTEFORCE_LOCKDOWN=6 后的锁定) 保护。TwoFactorController::check() 没有对应的方法:没有尝试计数器,没有 CAPTCHA,没有锁定,没有延迟。持有有效密码的攻击者可以通过暴力破解 6 位 TOTP 码。