外观
安全审核
系统中的敏感操作（如管理员登录、提现）在执行前要经过一道「卡点」：按配置的等级审核，通过后才放行。本页说明 L0 – L4 五个审核等级，以及如何在系统中配置和使用卡点。
初稿
本页为初稿，示例中的金额、时间均为示意，欢迎直接提 PR 修改。
审核等级
等级越高，验证越严格。
| 等级 | 放行方式 | 谁来放行 |
|---|---|---|
| L0 | 按规则自动放行，事后通知到群 | 系统自动 |
| L1 | 飞机群内点击「确认」 | 群内管理员 |
| L2 | 飞机私聊点击「确认」 | 指定的飞机账号 |
| L3 | 输入 6 位动态验证码 | 验证码持有人 |
| L4 | 打开链接，人脸识别 | 指定的管理员本人 |
L0：自动放行
操作满足配置的规则时，系统自动放行，无需人工处理。放行后，机器人把结果通知发到指定的飞机群，便于事后查看。
L1：群内确认
机器人在指定的飞机群发送审核消息，附带「确认」「取消」按钮。群内管理员点击「确认」即放行，点击「取消」即拒绝；非管理员点击无效。
L2：私聊确认
机器人私聊指定的飞机账号，附带「确认」「取消」按钮。只有该账号点击才有效。
和 L1 的区别：L1 是群里任一管理员都能放行，L2 必须是指定的人。
L3：动态验证码
系统生成一个 6 位动态验证码，放行人在指定位置输入，正确即放行。验证码只能用一次，过期作废，连续输错会锁定本次审核。
L4：人脸识别
系统通过指定媒介发送一个链接，指定管理员打开后进行人脸识别（类似 Face ID），识别为本人即放行。链接只能用一次，且需要活体检测，防止用照片、视频冒用。
在系统中如何使用
每个卡点配置三件事：
| 配置项 | 说明 | 示例 |
|---|---|---|
| 触发条件 | 什么情况下需要审核 | 管理员登录、单笔提现大于 1 万 |
| 审核等级 | 用 L0 – L4 中的哪一级 | L1 |
| 放行人 | 发到哪个群 / 哪个账号 / 哪位管理员 | 「运营审核群」、@zhangsan |
操作触发卡点后，在审核通过前停在原地等待；通过后自动继续，被拒绝或超时则终止。
示例一：管理员登录（L1）
- 管理员在后台输入账号密码，密码校验通过。
- 系统向指定的飞机群发送消息：「
admin01正在登录，IPx.x.x.x，确认 / 取消」。 - 群管理员点击「确认」后，前端才完成登录；点击「取消」或超时，登录失败。
示例二：提现审核（按金额分级）
按单笔金额和当日累计金额，配置不同的等级和放行人：
| 条件 | 审核等级 | 放行人 |
|---|---|---|
| 单笔 ≤ 1,000 且当日累计 ≤ 5,000 | L0 | 自动放行，通知「财务群」 |
| 单笔 ≤ 10,000 | L1 | 「财务群」的群管理员 |
| 单笔 ≤ 50,000 或当日累计 ≤ 100,000 | L2 | 财务主管的飞机账号 |
| 单笔 ≤ 200,000 | L3 | 财务主管输入验证码 |
| 单笔 > 200,000 | L4 | 指定负责人人脸识别 |
同时命中多条规则时，取最高等级。
通用规则
- 不能自己放行自己：发起人不能审核自己的操作。
- 一次一审：审核结果只对本次操作有效，不能复用。
- 超时即拒绝：有效期内没人处理，视为拒绝，需要重新发起。
- 全程留痕：记录发起人、操作内容、等级、放行人、结果和时间，用于审计。
- 只升不降：执行时不能临时降低等级；需要时可以叠加，如 L2 + L3。
待讨论
- L3 验证码通过什么渠道获取（飞机、短信、TOTP 应用）？
- L4 的「指定媒介」用什么，人脸数据存放在哪里、谁能访问？
- 放行人不在线时，是否允许配置备用放行人？
- 卡点配置本身的修改，是否也需要经过审核（建议 L4）？