遠端簽署 SMS 雙重驗證
為遠端電子簽署加入可選的短訊身分核對。功能預設關閉；開啟後，客人透過專屬連結簽署發票、療程完成單或動態表單前，須先輸入發送到會員手機的驗證碼，身分保證等級由 link 提升為 otp_verified，並寫入同一套簽名舉證紀錄。
發送通道沿用 Landing Form 既有短訊服務，不另開通道。門店現場簽署不受影響。
功能定位與設計原則
遠端簽署原本以「持有有效加密連結」作為身分依據：連結仍有效、未過期、未標記已簽，即允許提交。此模式適合大多數門店日常作業。對於需要更高身分確定性的場景（例如較高金額發票、臨床同意書、遠端療程完成確認），SRP 提供可選的短訊驗證碼。
驗證碼並非另一套簽署系統，而是嵌在既有遠端簽署流程前端的身分閘口。閘口通過後，才進行一次性提交防護、PDF 密封、簽名舉證寫入，並把該連結標記為已簽。
四項設計原則
開關預設關閉。關閉時不顯示驗證碼欄、不發短訊、提交直接放行，身分說明維持「持有連結即可簽」。門店現場簽署與既有遠端簽署行為與開啟前一致。
驗證碼欄只在功能開啟、且頁面處於可提交狀態時顯示。已簽署連結可再開來檢視，但提交掣與驗證碼欄一併收起，避免客人對已完成文件再次發碼。
提交時由伺服器核對驗證碼。頁面上的「已發送」狀態不能代替核碼；核碼成功後該碼立即失效，不能重用。
驗證碼核對在寫入簽署結果之前完成。通過後才進行一次性提交防護、密封 PDF、寫入舉證。核碼失敗不會消耗這次簽署，客人可更正後再提交。
覆蓋範圍：三種遠端簽署入口
OTP 接入既有的三條遠端簽署入口。發票、療程與動態表單的連結各自獨立，不能拿錯類型的連結去簽另一種文件。發碼與提交都綁在同一條簽署連結上。
客人遠端簽署客戶欄。版面若設定顯示條款，須先接受條款。通過驗證碼閘口後，同一筆作業寫入簽名、密封發票 PDF 與舉證紀錄。
驗證碼欄內嵌於簽署表單。僅在提交簽名時過閘；允許先交滿意度、稍後再補簽名。補簽名時同樣須核碼，再寫入舉證與密封 PDF。
遠端提交須先勾選個人資料收集聲明與簽署意願，伺服器再檢查一次。通過後才核驗證碼，再封存答案、寫入舉證並生成密封 PDF。
開關位置、儲存與權限
管理員於 系統資訊 操作。卡片位於「發票鎖單」下方，標題為「遠端簽署驗證碼」，開關文案為「遠端簽署須 SMS 驗證碼」。
| 介面 | 沿用系統資訊頁既有開關，開啟或關閉會正確記住。 |
|---|---|
| 權限 | 沿用系統資訊頁既有權限，未另開權限項，亦未自動授權任何權限組。 |
| 預設 | 新店預設關閉。已有設定不會被升級覆蓋。 |
| 多語言 | 標題、說明、發碼掣、輸入提示與錯誤訊息支援英文、繁中、簡中與越文。 |
說明文字會告知營運人員：開啟後，客人遠端簽署提交前須以短訊驗證碼確認，發送通道與 Landing Form 相同；關閉則維持「持連結即可簽」。
客人在連結上看到什麼
當開關開啟，且該連結仍可簽署時，提交區域上方出現驗證碼欄。手機號碼取自會員主檔，畫面只顯示遮罩後四碼，例如 ******4567。
畫面行為
- 輸入框使用數字鍵盤，手機可自動填入一次性驗證碼，最長 8 位。
- 點擊「發送驗證碼」後按鈕進入處理中並停用，避免重複點擊；完成後還原。
- 發碼成功或失敗以系統既有提示框顯示對應多語言訊息。
- 前端在提交前會檢查欄位是否空白；真正核碼仍由伺服器執行。
- 已簽署頁不渲染此區塊。功能關閉時三條遠端頁面皆不出現此欄。
短訊發送、冷卻與核對
客人在遠端簽署頁按「發送驗證碼」後，系統會確認這次簽署仍有效，再把短訊發到會員檔案上的手機。
發送路徑
- 使用會員主檔裡已登記的手提電話；有區號就一併帶上，沒有則按分店所在地區補上常用區號（例如香港、台灣）。
- 短訊內容沿用店舖既有的驗證碼範本。沒有範本就無法發碼，畫面會提示發送失敗。
- 驗證碼短時間有效（約十五分鐘），過期須重發。
- 同一簽署連結約六十秒內不能連續重發，避免洗短訊。
核對規則
| 輸入清理 | 只保留數字。空白或非數字視為未輸入。 |
|---|---|
| 比對方式 | 伺服器核對驗證碼，不在介紹頁公開比對細節。 |
| 一次性 | 核對成功後該碼立即失效，不能再用。 |
| 失敗提示 | 錯誤、過期、沒有手機、連結無效或請稍候再發，都會用多語言提示。 |
| 隱私 | 舉證只記下「這次連結已核過短訊」，不把手機號碼寫進身分參照。 |
FIG-sign-01-otp-generate
OTP 一次性密碼發送
OTP 一次性密碼：短訊發送、冷卻機制、核對流程與提交門控。
提交門控順序
三條遠端提交在寫入之前的共同順序如下。驗證碼關閉時，第 3 步直接放行，其餘步驟不變。
開關對照
| 關閉（預設） | 開啟 | |
|---|---|---|
| 畫面 | 無驗證碼欄、無發碼掣 | 可簽署頁顯示發碼欄與遮罩手機；已簽頁不顯示 |
| 發碼 | 功能未開，不會發短訊 | 確認連結有效後，走店舖既有驗證碼短訊通道 |
| 提交閘口 | 直接通過 | 必須核碼；無手機或碼錯誤則擋提交 |
| 身分等級 | 持有連結即可簽 | 核碼成功記為「已用短訊確認」 |
| 舉證參照 | 不記短訊核身 | 只記這次連結已核過碼，不寫手機號碼 |
| 密封與已簽 | 與既有遠端簽署相同 | 相同；僅在閘口之後執行 |
療程完成單的評分與簽名
療程遠端頁允許先提交滿意度評分、稍後再補簽名。只有這次請求帶有簽名內容時才過驗證碼閘口。純評分提交不觸發短訊，也不會提前把連結標記為已簽。
與簽名舉證層的整合
遠端與門店簽署都寫入同一套簽名舉證。驗證碼只改變遠端提交當刻寫入的身分說明，不改雜湊算法、不改密封版面、不改「只追加不覆蓋」的規則。
核碼成功後，該次舉證記為「已用短訊確認」。系統不會把歷史「持連結即簽」的紀錄事後改寫。匯出與核對讀取的是簽署當時的值。
舉證失敗時，發票或療程更新會一併退回，避免出現「有簽名、沒有當刻版面快照」。
身分等級一覽
門店面對面 遠端關驗證碼 → 持連結即簽 遠端開驗證碼且核碼成功 員工登入確認遠端與店內會分開標記通道，方便日後稽核。
上線前建議核對
- 短訊範本：確認店舖既有的驗證碼短訊範本可用。遠端簽署與到訪表單走同一發送通道。
- 會員手機：要遠端簽署的會員須已登記手提電話。有區號就一併帶上。
- 關閉狀態抽樣：不開開關，走一條遠端發票連結，確認沒有驗證碼欄、可正常簽署。
- 開啟狀態抽樣：於系統資訊打開並儲存。用真實遠端連結發碼、輸入、提交。舉證應顯示已用短訊確認，且不寫入手機號碼。
- 已簽頁：同一連結再開，應沒有提交掣、沒有驗證碼欄。
- 冷卻與過期：約一分鐘內重發應提示等候；驗證碼過期或輸錯應擋提交，且不消耗這次簽署。
- 恢復原流程：於系統資訊關閉開關並儲存，即可回到持連結簽署。
建議抽樣清單
- 遠端發票一張（驗證碼關）、一張（驗證碼開）。
- 遠端療程完成單：先評分再簽名；簽名當次須過驗證碼。
- 遠端動態表單：未勾個人資料聲明不能提交；勾選後須核碼才能封存。
- 無手機會員：發碼與提交均提示缺少手機號碼。
- 門店現場發票／療程簽署各一張，確認沒有驗證碼畫面。
本頁為功能介紹，不連接真實系統，亦不構成法律意見。實際舉證以該店當時簽署紀錄、密封 PDF 與匯出包為準。