fix(mfa): 修复双重验证漏洞

app/chain/user.py

@@ -179,7 +179,7 @@ class UserChain(ChainBase):
         """
         # 检查用户是否有PassKey
         from app.db.models.passkey import PassKey
-        has_passkey = bool(PassKey().get_by_user_id(db=None, user_id=user.id))
+        has_passkey = bool(PassKey.get_by_user_id(db=None, user_id=user.id))
         
         # 如果用户既没有启用OTP也没有PassKey，直接通过
         if not user.is_otp and not has_passkey:
@@ -190,11 +190,20 @@ class UserChain(ChainBase):
             logger.info(f"用户 {user.name} 已启用双重验证（OTP: {user.is_otp}, PassKey: {has_passkey}），需要提供验证码")
             return "MFA_REQUIRED"
         
-        # 如果提供了验证码，验证OTP
+        # 如果提供了验证码，且用户启用了 OTP，则验证 OTP
         if user.is_otp:
             if not OtpUtils.check(str(user.otp_secret), mfa_code):
                 logger.info(f"用户 {user.name} 的 MFA 认证失败")
                 return False
+            # OTP 验证成功
+            return True
+
+        # 用户未启用 OTP，此时提供的 mfa_code 无效；如果启用了 PassKey，则仍需通过 PassKey 验证
+        if has_passkey:
+            logger.info(
+                f"用户 {user.name} 未启用 OTP，但已启用 PassKey，提供的 MFA 验证码将被忽略，仍需通过 PassKey 验证"
+            )
+            return "MFA_REQUIRED"
         
         return True