SIWS + 2FA

运营者登录 = 对服务器 nonce 的钱包签名（Sign-In With Solana），外加可选 TOTP 2FA。

在公共部署中，运营者对网关的访问通过 Sign-In With Solana 认证：运营者的钱包对服务器签发的 nonce 签名，无需任何密码或托管凭据即可证明所有权。在此之上，TOTP 2FA 和一次性备份码保护会话。

• 任何地方都没有密码 — 钱包密钥即身份，nonce 防止重放；服务器端没有可被钓鱼或泄漏的东西。
• 按钱包的 TOTP 登记持久化在网关账本中，因此 2FA 在重启后依然有效。
• 备份码一次性使用 — 每次登录消耗一个，用于认证设备不可用时的恢复。
• 范围如实声明 — bridge 与引擎端口为可信主机 / LAN / VPN 设计；SIWS + 2FA 是让*公共*域名可以安全暴露的那一层。