安全策略先开哪四项，另外几项的代价

路径「系统管理 → 安全与审计」（/settings/security）。可配置的项有：密码策略（要求大写字母、小写字母、数字、特殊字符）、两步验证 2FA、单设备登录、会话超时（闲置 30 分钟后自动退出）、登录失败锁定（连续失败 5 次锁 15 分钟）、异地登录告警、IP 白名单、登录审计。 先开这四项，成本最低、收益最直接：密码四要素一起要求、失败 5 次锁 15 分钟、闲置 30 分钟自动退出、登录审计。审计这一项要单独说：它的价值不是拦截，是事后能查——谁在什么时候从哪个 IP 登进来、改了什么，出了问题这是唯一能还原经过的东西。 另外几项要看代价：2FA 每人多一步验证，销售在外面抱怨最多的就是它，但账号里有客户名单和收款信息时，这一步值得；单设备登录意味着手机和电脑不能同时在用，切换会被踢下线，外勤多就别开；IP 白名单最硬，也最容易把人挡在外面，远程办公、出差换网络、家里宽带换 IP 都会进不来，开之前先确认团队没有移动办公需求。 判断标准：账号里装的是客户名单、报价、合同、收款，就按资产的价值配策略，不按习惯配。开了策略要提前通知，并且留一条找回路径——被锁在外面的人，第一件事是打电话给你。