2FA基础概念
MFA、2FA、TOTP，到底有什么区别？
理清多因素认证、双重认证与动态验证码的关系，知道自己到底开启了哪一层保护。
MFA 是多因素认证，2FA 是其中恰好使用两种因素的情况；TOTP 则是一种基于时间生成动态验证码的算法。它们分别描述认证方式的组合与具体实现，不能直接画等号。
什么才算不同的认证因素？
认证因素通常分为三类：你知道的内容（例如密码）、你拥有的物品（例如安全密钥或保存认证密钥的设备），以及你的生物特征。两个密码仍属于同一种因素。
密码与认证器中的动态验证码，是常见的双重认证组合。但输入两次信息不一定构成双重认证，关键在于这些信息是否来自不同种类的因素。
TOTP 的验证码为什么会变化？
TOTP 使用共享密钥和当前时间步数计算验证码。验证器与服务端持有相同密钥，采用相同算法、位数和周期，就能独立计算出相应验证码。
常见配置是 6 位、30 秒周期，但实际参数应以服务提供方的配置为准。标准算法还支持不同的哈希算法。
验证码短时间内有效，不意味着共享密钥也会过期。别人拿到密钥后，通常可以持续生成验证码，直到你在服务端重新绑定认证器或撤销旧密钥。
开启 TOTP 后就不会被钓鱼了吗？
不是。TOTP 验证码仍可能被钓鱼网站实时转发。它能降低仅密码泄露带来的风险，却不能提供与抗钓鱼认证方式相同的保护。
如果平台支持，可了解其 Passkey 或安全密钥选项，并按照平台指南配置恢复方式。
下一步可以做什么？
- 使用公开演示密钥，观察 TOTP 验证码随时间变化。
- 开启重要账户的双重认证，并按平台要求妥善保存恢复代码。
- 如果验证码无法通过，先检查设备时间和认证器配置。