two-factor-authentication-best-practices 用来给 Better Auth 项目接入双重验证：密码通过后，还要再验证动态码等凭据才完成登录。它面向开发者，介绍验证器应用、邮件或短信验证码、备用码和受信任设备的完整流程。
你需要现有认证配置、客户端代码和选择的验证码方式。服务器与客户端都要接插件，并完成数据结构迁移；用户启用验证时还要确认密码，验证器首次验证成功后，才把启用状态设为完成。
登录不能只检查密码成功。服务器返回需要二次验证的标记后，页面要带用户继续验证，成功后才创建正式会话。备用码用于恢复，每个码只能使用一次，重新生成会让旧码失效；展示时要提醒用户妥善保存。
邮件短信发送还需接自己的投递服务，验证码的存储和重试次数也要配置。原文这一套启用流程用于邮箱密码账户，不应直接套到所有登录方式；信任设备和关闭验证同样有状态处理，不能只做一个输入验证码的页面。