2FA安全实践
认证二维码，也是一把需要保管的钥匙
理解二维码、otpauth 链接与共享密钥之间的关系，减少迁移、截图和调试时的泄露风险。
TOTP 绑定二维码通常包含共享密钥。拿到二维码或对应的 otpauth 链接，别人可能生成与你相同的动态验证码，因此它们都应当按敏感凭据保管。
二维码里有什么？
常见的配置链接包含账户名称、发行方、Base32 编码的密钥，以及算法、位数和周期。二维码只是这些配置的一种展示形式，不是加密保护。
Base32 也是编码方式，不是加密。看到由字母和数字构成的密钥，不代表它可以安全公开。
三个容易忽略的泄露场景
- 公开截图： 向客服或社区求助时，把完整绑定二维码一起截了进去。
- 第三方转换： 将真实二维码或密钥上传到不可信的识别、转换网站。
- 链接分享： 把带有 secret 参数的链接发送到聊天、文档或问题反馈中。
调试时尽量使用公开演示配置。必须提供截图时，隐藏完整二维码与密钥，不要只遮挡其中几个字符。
本地解析就绝对安全吗？
本地计算可以避免工具主动将密钥传到服务端，但仍依赖页面脚本、浏览器和设备本身可信。恶意扩展或受入侵设备可能读取页面内容。
本站工具不负责长期保管密钥。对于重要账户，优先使用可信认证器，并了解它的备份、迁移与恢复机制。
怀疑二维码泄露了怎么办？
在确认自己仍能正常访问账户并拥有恢复方式后，按照平台官方流程重新绑定认证器，撤销旧密钥。仅删除本地截图，不能让已经泄露的旧密钥失效。