双重身份验证（2FA，Two-Factor Authentication）是一种安全机制，要求用户通过两种不同的验证方式来证明身份，从而增强账户或系统的安全性。它结合了以下两类或更多类别的凭证：

2FA 的核心要素

1. 

   你知道的信息（知识因素）

• 例如：密码、PIN码、安全问题的答案。

2. 你拥有的物品（ possession 因素）

• 例如：手机（接收短信验证码）、硬件令牌（如YubiKey）、认证App（如Google Authenticator）。

3. 你自身的特征（生物特征因素）

• 例如：指纹、面部识别、虹膜扫描。

常见2FA形式

1. 短信/邮件验证码

• 登录时，系统向绑定的手机或邮箱发送一次性验证码。

• 缺点：短信可能被拦截（SIM卡劫持），安全性较低。

2. 认证应用程序

• 如Google Authenticator、Microsoft Authenticator等，生成动态验证码（基于时间或事件）。

• 优点：无需网络，更安全。

3. 硬件令牌

• 物理设备（如YubiKey）生成或存储密钥，需插入或NFC接触。

• 优点：防网络攻击，适合高安全场景。

4. 生物识别

• 指纹、面部识别等作为第二因素（常见于手机解锁或支付验证）。

为什么需要2FA？

• 防止密码泄露：即使密码被盗，攻击者仍需第二因素才能登录。

• 抵御暴力破解：增加攻击难度，尤其针对弱密码。

• 合规要求：许多行业（如金融、医疗）强制要求2FA。

注意事项

• 备份代码：部分服务提供备用代码，需妥善保存以防丢失主设备。

• 避免依赖短信：优先选择认证App或硬件令牌。

• 警惕钓鱼攻击：2FA不能完全防御虚假网站诱导输入验证码。

示例场景

1. 输入密码（第一因素） → 输入手机App生成的6位数验证码（第二因素）。

2. 刷卡（第一因素） → 指纹验证（第二因素）。

通过2FA，即使单一凭证泄露，账户仍能保持安全。建议对所有重要账户（邮箱、银行、社交媒体）启用2FA。