如何获取你的 2FA 验证码

开工之前需要什么

首先是账户访问——显然，你应该已经登录了想保护的服务。除此之外只有两件事重要。其一， 服务必须提供身份验证器应用作为第二重因素；这涵盖了 Google、 Microsoft、GitHub、Discord、Steam、AWS、Coinbase、Kraken、Binance、X，以及大多数 银行和交易所。其二，你需要一个运行验证器的地方：手机应用，或者——这正是本 站的意义所在——这个浏览器工具，它不需要安装任何东西，就能算出完全相同的验证码。

顺带说说叫法：这个第二重因素在不同服务里叫“双重验证”、“2FA”、“两步验证”、“TOTP”或 “身份验证器应用”。标签背后的东西完全一样——基于时间、从共享密钥推导出的一次性 验证码。如果你想了解机制本身而不是用法，读什么是 2FA？TOTP 如何工作。

第 1 步：开启 2FA 并显示设置密钥

打开账户的安全设置，找到双重验证相关的部分。选择身份验证器应用选项。服务会 显示一个二维码让你用手机扫描——而那个屏幕几乎总会提供一个替代路径：写着“无法扫码？”、“手动输入代码”或“设置密钥”的链接。点开它， 真正的秘密才会露面：一串形如 JBSWY3DPEHPK3PXP 的 Base32 字符串，偶尔还 裹在完整的 otpauth:// URI 里，额外携带账户标签、位数、刷新周期和哈希 算法。

这个密钥就是凭据本身——它是第二重因素中你密码的“可携带等效物”。 把这一屏当作恢复界面来对待：没有任何正派的人会请你去往邮件或聊天工具里粘贴设置 密钥。复制它，完成 2FA 的开启（多数服务会要求一个有效验证码来确认），再把原件放进 密码管理器之类的加密地方。

第 2 步：把密钥粘贴进生成器

在首页最上方的生成器里，粘贴你刚复制的内容——裸 Base32 字符串 或完整的 otpauth:// 链接都可以。几秒内就会出现一个实时的 6 位验证码， 并每 30 秒刷新一次。你也可以从图片导入密钥：用 Ctrl+V 把二维码截图直接贴到页面， 或拖入一个图片文件，或用摄像头扫描二维码——解码全部在本地完成，什么都不上传。如果 服务给出了非标准配置（8 位验证码、15/30/60 秒周期、SHA-256，或基于计数器的 HOTP）， 完整的 otpauth:// URI 会带上全部参数，生成器会自动遵循。

第 3 步：复制实时验证码，完成登录

在验证码轮换之前，把当前的值输入验证提示框。每个验证码只在一个 30 秒窗口内有效 （自定义周期的服务会更短或更长），所以如果倒计时已经逼近最后几秒，宁可等下一个码， 也别赶着输一个快过期的。从现在起，你在这个服务的每次登录都重复同一循环：打开生成器 → 复制验证码 → 粘贴进输入框。上一个密钥只会记在你自己浏览器的 localStorage 里，所以下次到访只差一击。

常见服务的设置密钥藏在哪

每个服务把身份验证器选项埋在略有不同的位置，所以我们发布了与这个生成器配套的分步设置指南——每篇的终点都是把密钥粘贴到这里、完成设置。 被问最多的是：Google、 Microsoft、Discord、 GitHub、Steam、 AWS、Coinbase、 Kraken 和 Binance。

故障排查：不好用时该怎么办

验证码被拒绝。实践中几乎总是因为运行生成器的设备时钟有偏差。TOTP 要把你的验证码与从服务端时钟推导出的验证码相比对；如果系统时间偏差哪怕半 分钟，两者就会分岔。让操作系统自动同步时间（Windows：日期和时间设置里的“立即同步”； macOS：“自动设置日期与时间”），再用下一个验证码试试。

二维码扫不出来。改用“无法扫码？”链接显示设置密钥——文字 密钥永远比拍屏幕可靠。如果你只有截图，把它裁剪到只剩二维码本身；压缩严重或拍摄角度 歪斜的图片经常解码失败。

放密钥的那部手机丢了。这正是这个工具被造出来的原因：只要密钥原件还 保存在你的密码管理器里——或者手机还能用的时候你已经把它粘贴到了这里——你就能在 任何一台电脑上重新生成验证码。不需要手机，不需要恢复备份，不需要提工单。

值得养成的两个习惯

开启 2FA 时就把服务的恢复代码离线保存；一旦丢失存放密钥的设备，它们 就是你的救命索。另外，别把实时的 2FA 验证码当成可以分享的东西：没有任何客服、银行、 交易所会主动要你当下的验证码。一个验证码只在它自己的 30 秒窗口里、在你自己选择的 登录页面上才有用。