客户端首次启动时，用户面对的并不是一个密码框，而是三个连续问题：连接哪套 xypass 服务、以哪个账户登录、怎样解开当前设备上的保险库。

先验证部署地址

客户端保存的是 HTTPS 服务 Origin，不接受带用户名、片段或任意路径的地址。连接测试确认服务器身份、协议版本和认证策略，再进入账户步骤。网络错误和“不兼容的服务器”需要不同提示。

再建立账户会话

根据部署策略，用户使用本地账号或跳转 OIDC。若账号启用了 MFA，密码验证成功后再进入第二步验证；未启用 MFA 的账户不应出现多余输入框。会话建立后，客户端才知道这个账户可以访问哪些组织、Vault 和密文。

最后在本机解锁

主密码只在本地派生密钥。已经配置设备 PIN 或平台认证器时，可以用它解包本机密钥材料；失败后仍需提供回到主密码的路径。登录成功不能自动意味着保险库已经解密。

把三个阶段分开后，错误会更可诊断：连接失败检查服务器，认证失败检查账户，解锁失败检查主密码和本地数据。