两步验证（2FA）

两步验证（Two-Factor Authentication，简称 2FA），又称双重验证、两步认证，是一种要求用户在输入密码之外再提供第二重身份凭证才能登录的安全机制，属于多因素身份验证（MFA）的常见形式。

概述

传统的账号保护只依赖「密码」这一道门槛，而密码可能被钓鱼、撞库、暴力破解或数据泄露获取。两步验证在密码之外增加了第二道关卡：攻击者即使拿到了密码，没有第二重凭证仍然无法登录，账号被盗的风险因此大幅降低。

身份验证的凭证通常分为三类：你「知道」的（密码、PIN 码）、你「拥有」的（手机、硬件安全密钥、银行卡）、你「本身具备」的（指纹、人脸等生物特征）。两步验证要求组合其中至少两类不同的因素，例如「密码 + 手机动态码」。目前主流邮箱、网盘、社交平台、加密货币交易所和云服务商都支持开启两步验证。

短信 / 邮件验证码：平台向绑定的手机号或邮箱发送一次性验证码，使用门槛最低，但可能被 SIM 卡劫持或钓鱼截获，安全性相对较弱。
验证器应用（TOTP）：如 Google Authenticator、Microsoft Authenticator、Authy 等，基于时间生成每 30 秒左右刷新一次的动态码，离线可用，安全性优于短信。
硬件安全密钥：如 YubiKey 等实体密钥，通过 USB 或 NFC 验证，可有效抵御钓鱼攻击，安全性最高。
推送确认与生物识别：在已登录的可信设备上点击确认，或配合指纹、人脸完成验证，体验较为便捷。

开启两步验证时，平台一般会提供一组恢复代码（备用码），务必抄写并离线妥善保存，以防手机丢失或更换设备后无法登录。更换手机前应先迁移验证器数据；对安全要求高的账号（如邮箱、交易所），建议优先选择验证器或硬件密钥而非短信。

问：两步验证和多因素验证（MFA）是一回事吗？答:两步验证是多因素验证的一种具体形式，特指使用两重凭证；MFA 是更宽泛的概念，可以包含两种以上的验证因素。

问：开了两步验证后手机丢了怎么办？答:可使用开启时保存的恢复代码登录，或通过平台的账号申诉流程找回；这也是提前保存备用码非常重要的原因。

问：短信验证码算安全的两步验证吗？答:比只用密码安全得多，但短信可能被劫持或钓鱼，条件允许时建议改用验证器应用或硬件安全密钥。