1. 概述
1.1 版本
| 报表服务器版本 | JAR | 功能变动 |
|---|---|---|
| 10.0 | 2020-02-28 | 新增「历史密码重复校验」、「初始密码强制修改」设置项 |
| 10.0 | 2020-07-08 | 「密码强度限制」下新增「不包含用户名」选项 |
| 10.0.9 | 2020-08-31 | 「忘记密码」验证优化 |
| 10.0.10 | 2020-11-02 | 密码策略对于无法在本系统修改密码的用户不生效 |
| 10.0.12 | 2020-12-28 | 短信验证重置密码时，支持海外手机号 修改密码验证方式绑定手机号时，支持海外手机号 |
| 10.0.15 | 2021-04-09 | 短信验证重置密码时，海外手机号支持下拉选择区号 修改密码验证方式绑定手机号时，海外手机号支持下拉选择区号 修改密码时输入错误旧密码次数过多会触发锁定 |
1.2 应用场景
用户忘记密码时，由于安全性考虑，希望通过某种身份验证后，例如手机验证或者邮箱验证，才能重置密码。
很多用户为了登录方便，密码设置的往往简单，需要平台定时提醒更新密码。
对安全级别较高的企业，对用户密码的复杂性有所要求，例如必须包含大写字母、符号等。
出于安全性考虑，用户不希望现在的密码与之前密码相同。
导入用户或者同步用户时，服务器数据集中的密码往往简单或不符合企业安全性要求，希望用户初次登录时强制修改密码。
平台用户想修改密码时，出于安全性考虑，希望通过某种身份验证后，例如手机验证或者邮箱验证，才能修改密码。
1.3 功能简介
对平台密码体系要求较高，对安全性较为注重的用户，可在平台「管理系统>系统管理>登录>密码策略设置」中对用户密码进行要求与限制，提高平台安全性。
1.4 生效条件
JAR 包在2020-11-02 之前的系统，开启「用户同步数据集」、「LDAP 认证」、「HTTP 认证」三种情况下，密码策略功能不生效。
JAR 包在2020-11-02 及之后的系统，对于无法在本系统修改密码的用户，密码策略功能不生效。
因此若升级了 JAR 包，超级管理员和开启了「用户可编辑」的「同步用户」受到密码策略影响，需要修改密码。
2. 忘记密码验证方式
以管理员身份登录数据决策系统，点击「管理系统>系统管理>登录」，可设置忘记密码的验证方式。如下图所示：
忘记密码功能介绍如下表所示：
注：移动端支持忘记密码功能。
| 短信验证重置密码 | 邮件验证重置密码 | 忘记密码功能 |
|---|---|---|
| 未开启 | 未开启 | 不能使用 |
| 开启任意一个 | 可以使用 | |
| 开启 | 开启 | 可以使用，忘记密码时默认选择手机验证，可切换验证方式 |
2.1 短信验证重置密码
2.1.1 用户绑定手机
用户需绑定手机号，如下图所示：
2.1.2 开启短信服务
具体步骤请参见：短信
2.1.3 开启短信验证重置密码按钮
如下图所示：
2.1.4 效果查看
1）退出当前登录，登录页出现「忘记密码」按钮，点击「忘记密码」，如下图所示：
2）弹出身份验证对话框，输入手机号和验证码，点击确定。如下图所示：
注：10.0.12 之前的报表工程版本，仅支持输入中国大陆手机号。
10.0.12 及之后的报表工程版本，支持输入中国大陆、中国台湾、中国香港、土耳其、韩国、日本、新加坡、马来西亚手机号。
10.0.12-10.0.14 的报表工程版本，需要手动输入区号。10.0.15 及之后的报表工程版本，支持下拉选择区号。
台湾，韩国，日本，马来西亚等国家和地区，区号后、手机号前都不需要加0。
若版本回退至 10.0.12 之前的报表工程版本，原先绑定的非中国大陆手机号，将无法正常接收系统发送的短信。
3）输入新密码，点击「保存」，如下图所示：
4）密码修改成功，点击「立即登录」或等待自动登录。如下图所示：
若用户没有绑定该手机号，却输入了该手机号，会提示：「该手机尚未绑定过账号」。
若手机没有收到验证码，但是前台没有报错，请检查是否短信账户余额不足。
2.2 邮件验证重置密码
2.2.1 用户绑定邮箱
用户需绑定邮箱，如下图所示：
2.2.2 开启邮箱服务
具体步骤请参见：邮箱
2.2.3 开启邮件验证重置密码按钮
如下图所示：
2.2.4 效果查看
注：若用户没有绑定该邮箱，却输入了该邮箱，会提示：「该邮箱尚未绑定过账号」。
1）退出当前登录，登录页出现「忘记密码」按钮，点击「忘记密码」。如下图所示：
、
2）弹出身份验证对话框，输入邮箱和验证码，点击「确定」。如下图所示：
3）输入新密码，点击「保存」，如下图所示：
4）密码修改成功，点击「立即登录」或等待自动登录。如下图所示：
2.3 移动端兼容说明
如下表所示：
| JAR 版本 | App 版本 | HTML 移动端展现插件 | 忘记密码验证功能 |
|---|---|---|---|
| 2020-08-31 之前 | 10.4.90 及之后 | V10.4.90 及之后 | 登录页没有「忘记密码」按钮 |
| 2020-08-31 及之后 | 10.4.90 之前 | 10.4.90 之前 | 登录页显示「忘记密码」按钮，校验验证码时提示：用户不存在 |
| 2020-08-31 及之后 | 10.4.90 及之后 | V10.4.90 及之后 | 正常使用该功能 |
| 2020-08-31 之前 | 10.4.90 之前 | 10.4.90 之前 |
3. 密码定期更新
开启「密码定期更新」按钮，用户可自定义设置更新周期及提醒日期，如下图所示：
「密码定期更新」功能介绍如下所示：
「更新周期」右侧下拉框中可手动输入选项之外的天数，最少为 7 天；下拉框中选项按照「1 个月= 30 天」换算成天数显示。
若更新周期设置天数小于等于提醒天数，则提醒天数恢复默认 3 天。
新旧密码不允许相同。
移动端支持该功能。
如超期未修改密码，登录时输入旧密码，登录失败，提示「当前密码已失效，请修改密码」
开启「密码定期更新」后，用户登录数据决策系统时进行判断，当到了更新日期的前 X 天时，会向用户发送平台消息，内容为：「当前密码将在x天后过期，请尽快修改密码」。
如下图所示：
4. 密码强度限制
1）开启「密码强度限制」后，用户可自定义设置密码强度，如下图所示：
「密码强度限制」功能介绍如下所示：
用户在「账号设置」处修改密码也受强度限制。
用户名不区分大小写。例如：用户名为 admin，若勾选「不包含用户名」按钮，密码不能包含 ADMIN ，Admin ，adMIN 等。
任何修改密码处，新密码必须符合密码强度限制。
在用户登录平台时，系统发现用户当前密码不符合密码强度时，要求跳转到修改密码界面。
移动端支持该功能。
2）输入新密码的时候会提示是否符合强度限制，输入符合密码强度的登录密码，点击「确定」，如下图所示：
5. 历史密码重复校验
「历史密码重复校验」按钮默认关闭，若开启则用户修改密码时禁止使用之前的 N（ N 为禁用个数的值） 个密码，如下图所示：
「历史密码重复校验」功能介绍如下所示：
「禁用个数」的值为不小于 1 ，不大于 10 的整数。
当前密码不在历史密码中。
管理员重置用户密码功能若使用也会计入历史密码，重置密码的时候不清空历史密码。
移动端支持该功能。
若开启「历史密码重复校验」按钮，用户修改密码时若触发了历史密码校验，提示：「不可使用历史密码」。如下图所示：
6. 初始密码强制修改
「初始密码强制修改」按钮默认关闭，该按钮开启后，密码初始化或者重置后，首次登录，会提示修改密码。如下图所示：
注：移动端支持该功能。
若登录用户为初始密码登录，则提示如下图所示：
7. 修改密码验证方式
当在登录页输入正确的用户名密码，但是触发了单一登录-已登录禁止再登录、密码定期更新、密码强度限制、初始密码强制修改等规则时，会强制要求用户修改密码。
开启「修改密码验证方式」，在登录页修改密码时，需先通过身份验证，验证方式分为「短信验证」和「邮件验证」，如下图所示：
「修改密码验证方式」功能介绍如下所示：
若两种认证方式都开启了，且当前登录用户信息中都填写了手机号码和邮箱信息，系统默认使用手机进行认证。
若系统检测到用户的登录需要修改密码，则要通过所选的验证方式才可成功修改密码、成功登录。
用户在「账号设置」处修改密码无需进行验证。
移动端只支持短信验证。
7.1 短信验证
7.1.1 用户绑定手机
点击「绑定手机号」，进入「账号设置」，输入账户所绑定手机号，点击「获取验证码」，输入有效验证码后，点击「确定」，点击「完成」。如下图所示：
注：10.0.12 之前的报表工程版本，仅支持输入中国大陆手机号。
10.0.12 及之后的报表工程版本，支持输入中国大陆、中国台湾、中国香港、土耳其、韩国、日本、新加坡、马来西亚手机号。
10.0.12-10.0.14 的报表工程版本，需要手动输入区号。10.0.15 及之后的报表工程版本，支持下拉选择区号。
台湾，韩国，日本，马来西亚等国家和地区，区号后、手机号前都不需要加0。
若版本回退至 10.0.12 之前的报表工程版本，原先绑定的非中国大陆手机号，将无法正常接收系统发送的短信。
7.1.2 开启短信验证
注：需开启 短信 功能且管理员绑定手机后可开启，默认关闭。
开启「短信验证」按钮，如下图所示：
7.1.3 身份验证
7.2 邮箱验证
7.2.1 绑定邮箱
点击「绑定邮箱」，进入「账号设置」，输入账户所绑定邮箱，点击「获取验证码」，输入有效验证码后，点击「确定」，点击「完成」 。如下图所示：
7.2.2 开启邮箱验证
注：需开启 邮箱 功能且管理员绑定邮箱后可开启，默认关闭。
开启「邮箱验证」按钮，如下图所示：
7.2.3 身份验证
8. 注意事项
JAR 包在 10.0.15 及之后的报表工程提升了「修改密码接口」的安全性。
当触发了单一登录-已登录禁止再登录、密码定期更新、密码强度限制、初始密码强制修改等规则时，会强制要求用户修改密码。
若未开启「修改密码验证方式」，则需要输入旧密码作为更新密码的验证。
1）限制在 5 次以内输入正确的旧密码，输入错误报错：旧密码错误，输入4次后将锁定。
2）若五次机会使用完毕，仍然输入错误的旧密码：
普通用户
普通用户提示：密码错误次数过多，请15分钟后重试或联系管理员。
用户可自行等待 15 分钟后重新尝试；或联系超管，超管可参考 用户修改密码/忘记密码 文档 3.2 节，帮助用户修改密码，用户可使用新密码登录。
超级管理员
超管提示：密码错误次数过多，请15分钟后重试。
超管被锁定后只能自行等待15分钟后重试，或参考 管理员修改密码/忘记密码 文档第 2 章重置密码，并使用新密码登录。