用户和角色

设置

给家里每个人一个自己的账户，只给他们需要的权限。所有者和管理员在 Settings > Users and roles（设置 > 用户和角色）里操作。

邀请别人

打开 Settings > Users and roles。
选择 Member（成员）。所有者还可以选择 Admin（管理员）。
检查权限。这个角色的默认权限已经勾好了。
如果想记住这个链接是给谁的，可以加一条只有自己能看到的备注。
选链接的有效期：1 到 30 天，默认 7 天。
点击 Make an invite link（生成邀请链接），马上复制。你应该会看到完整的链接，只显示这一次；链接只能用一次。

对方打开链接，选一个不重复的名字和一个符合当前最短长度的密码。之后他们就登录了。

给孩子设年龄上限，见儿童账户。

角色和权限

角色	含义
所有者	第一个账户。什么都能做。在这个页面上，没有人能修改或停用它
管理员	在自己的权限范围内管理成员和媒体库
成员	通常是请求条目，并查看自己的请求

权限	允许做什么	新管理员	新成员
Request titles（请求条目）	提交请求	是	是
Requests approved without waiting（请求无需等待直接批准）	请求跳过批准	是	否
Approve or turn down requests（批准或拒绝请求）	决定其他人的请求	是	否
Run the Library（管理媒体库）	搜索、整理和管理媒体库的工作	是	否
Change settings（更改设置）	打开和修改普通设置	否	否

谁能授予什么：

只有所有者能邀请管理员，或把某人设为管理员。
管理员可以邀请和修改成员，而且只能授予自己拥有的权限。
没有人能改自己的角色或权限。

修改某个人

打开 Settings > Users and roles，选中这个人。
修改角色或权限。换了角色后，保存之前会先勾上新角色的默认权限。
可选：分别为电影、剧集和音乐设置每周请求限额，各自 0 到 1000。留空就用 Settings > Request rules（设置 > 请求规则）里的默认值；0 表示没有限额。能批准请求的人没有限额。
点击 Save（保存）。

Turn off（停用）会让这个人在所有设备上退出登录，删除他们的 API 密钥，并且在你重新启用之前不让他们登录。账户会保留。

这些修改需要用密码登录。如果你是通过局域网免登录进来的，先用密码登录。

设置两步验证登录

每个人为自己的账户设置。

打开 My account（我的账户），找到 Two-factor（两步验证），点击 Set up（设置）。
用显示的链接或密钥，把账户添加到验证器应用里。
输入应用里的 6 位验证码。
把 10 个备用验证码存到安全的地方。它们只在这时显示；每个只能用一次。

要生成新的备用验证码或关闭两步验证，输入一个当前的应用验证码，或一个没用过的备用验证码。新的验证码会替换旧的。

选项

要求管理员使用两步验证

所有者在 Settings > Sign-in and security（设置 > 登录与安全）下面打开这一项。之后，没有设置两步验证的管理员只能打开 My account，直到设置好为止。成员不受影响。

头像

任何人都可以在 My account > Profile picture（我的账户 > 头像）里设置：JPEG、PNG 或 WebP，最大 5 MB。HolyArrs 会截取中间的正方形，裁成 256 x 256 像素。Remove（移除）会恢复成彩色的姓名首字母。

如果不成功

现象： 邀请链接用不了。 原因： 它已经用过、已过期或已撤回，或者生成它的人不再是有效的所有者或管理员。 解决办法： 重新生成一个。Invite links（邀请链接）列表会显示每个链接的状态；所有者可以撤回任何未使用的链接，管理员只能撤回自己的。

现象： 管理员勾不上某项权限。 原因： 管理员只能授予自己拥有的权限。 解决办法： 找所有者。

现象： 有人把验证器和备用验证码都弄丢了。 原因： 没有验证码可以用来登录了。 解决办法： 所有者可以为管理员或成员重置两步验证；管理员可以为成员重置。这个人会在所有设备上退出登录，然后用密码登录并重新设置。所有者自己的情况，见忘记密码；reset-owner 也会关闭所有者的两步验证。

进阶

头像 API

路由	作用
`PUT /api/v1/account/avatar`	图片作为请求体。返回 `{"avatar": "<address>"}`。超过 5 MB 返回 413，不是 JPEG、PNG 或 WebP 返回 415
`DELETE /api/v1/account/avatar`	移除你的头像
`GET /api/v1/users/{id}/avatar`	某个人的头像，或 404

GET /api/v1/auth/me 和 GET /api/v1/users 里包含 avatar，或者是 null。修改需要带上常规的 CSRF 请求头；用 API 密钥的话需要写入权限范围。