Meldry 支持通过外部 OAuth/OIDC 身份提供商登录与绑定账号。
| 提供商 | Scope |
|---|---|
| GitHub | read:user user:email |
openid email profile | |
| 微信 | snsapi_login |
get_user_info | |
| 飞书 / Lark | （默认） |
具体可用的提供商取决于你所在平台的实际配置。
绑定令牌是一次性的，10 分钟后失效。一旦使用，OAuth 身份就会永久绑定到该 Meldry 账号。
在 设置 → 安全 → 已绑定账号 中查看与管理。你可以随时解绑任意提供商。
| 问题 | 可能原因 | 处理 |
|---|---|---|
| "OAuth state expired" | 授权耗时超过 10 分钟 | 重新发起登录流程 |
| 回调返回 404 | 提供商侧回调地址不匹配 | 联系支持 |
| "{provider} OAuth not configured" | 该提供商未在平台启用 | 改用其他提供商 |
输入用户名密码后，系统会要求你再输入身份验证器中的 6 位 TOTP 验证码。
你可以将某台设备标记为 "受信任"，在该设备后续登录时跳过 TOTP 步骤。
每个恢复码只能使用 一次，可作为 TOTP 的替代。
修改密码时，Meldry 会校验长度与复杂度、检查黑名单，并确认未在最近 5 次历史中出现。
完成邮箱验证后，你才能正常接收密码重置、计费及安全相关邮件：
限速：每小时最多创建 5 个 API Key。
curl -H "Authorization: Bearer <your-api-key>" \ https://your-server.meldry.com/api/me
在 设置 → API Keys 中点击删除图标即可立即撤销。
在 设置 → 安全 → 会话 查看所有活跃会话，每条都会显示设备 / 浏览器、IP 与创建时间。
连续 5 次 登录失败后，账户会被锁定 15 分钟。
注册时 Meldry 可能会要求完成 CAPTCHA 校验，以防自动化滥用。支持 hCaptcha、reCAPTCHA 与 Cloudflare Turnstile。如果卡在 CAPTCHA，请刷新页面重试。
账户上的每一次重要操作都会被记录到一份基于 SHA-256 哈希链 的防篡改活动日志中。
user.login、server.create、billing.upgrade每条记录都包含上一条记录的 SHA-256 哈希。任何修改或删除都会破坏整条链，从而被察觉。
打开 设置 → 安全 → 活动日志，即可查看你自己的审计日志条目。
日志按可配置的保留期保存（默认 90 天），过期记录会被自动清理。
在 设置 → 危险区 → 导出数据 中申请完整的数据导出。
导出内容包括：
导出结果以 ZIP 文件的形式提供。
账户删除采用两阶段流程，附带 30 天宽限期。
deleted_at 时间戳。宽限期内随时进入 设置 → 危险区 点击 取消删除，时间戳会被清除，账户继续正常使用。
宽限期结束后，Meldry 会永久删除：
计划删除前，建议先导出你的数据。