update UI

docs/security.md

@@ -37,6 +37,8 @@ token。以下规则是实现约束，而不是可选部署建议。
 - TOTP 接受有限时钟偏移，并持久化最近使用的 time step，阻止同一码重放。
 - 登录与匿名注册同时按账户维度和网络维度限流，错误消息不暴露用户名是否存在。
 - 注册先写入短期 pending enrollment；只有正确 TOTP 确认后才原子创建账户并消费邀请码。
+- 已登录账户可用当前 TOTP 或未消费恢复码开始短期 TOTP replacement
+  enrollment。旧密钥在新动态码确认前保持有效；确认事务会更换密钥、轮换全部恢复码并撤销除当前会话外的其他网页登录会话。
 
 ## CookieCloud 与 SSRF