多因素认证：行为与生命周期
短期多因素认证挑战绑定到待处理会话，升级验证限制敏感操作，恢复代码为一次性使用，密码重放无法跳过正在进行或必需的第二因素验证。
WebAuthn passkey registration binds credentials to the authenticated account with discoverable ceremony options, bounded challenges, and recovery paths that do not promise private-key extraction.