双因素认证（2FA）

双因素认证（2FA，Two-Factor Authentication）是一种要求用户同时提供两种不同类型的凭证才能完成身份验证的安全机制，常见组合是「密码 + 手机动态验证码」。

概述

传统登录只依赖密码这一个因素，一旦密码被钓鱼、撞库或数据泄露获取，账号就会直接失守。双因素认证在「你知道的东西」（密码）之外，再加上「你拥有的东西」（手机、硬件密钥）或「你本身的特征」（指纹、人脸），两个因素必须同时通过验证才能登录。

如今主流的邮箱、社交平台、网银、云服务和开发者平台普遍支持 2FA，部分服务甚至强制开启。它也是更广义的多因素认证（MFA）中最常见的形式。

常见验证方式

• 短信 / 邮箱验证码：最普及，但可能被 SIM 卡劫持或钓鱼截获，安全性相对较弱。
• TOTP 动态口令：用 Google Authenticator、Microsoft Authenticator、Authy 等应用离线生成一次性数字口令，无需网络，安全性较好。
• 推送确认：登录时在已绑定的手机上点击「批准」即可。
• 硬件安全密钥：如 YubiKey 等基于 FIDO2/U2F 标准的实体钥匙，能有效抵御钓鱼，安全性最高。
• 生物识别：指纹、人脸等，常与设备绑定使用。

主要特点

• 密码泄露后仍能保住账号，大幅降低被盗风险。
• 部署成本低，多数平台在安全设置中即可一键开启。
• 不同方式安全性差异明显：硬件密钥 > TOTP > 短信验证码。
• 开启时通常会生成一组恢复码，用于设备丢失时找回账号。

常见问题

问：开启 2FA 后手机丢了怎么办？答：可使用开启时保存的恢复码登录，或通过平台的账号申诉流程验证身份；建议提前把恢复码离线保存好。

问：短信验证码算不算 2FA？安全吗？答：算，但它是较弱的一种，存在 SIM 卡劫持和钓鱼风险，重要账号建议改用 TOTP 应用或硬件密钥。

问：2FA 和 MFA 有什么区别？答：MFA（多因素认证）泛指使用两个及以上因素，2FA 是恰好使用两个因素的情况，属于 MFA 的子集。