启用mfa需选认证app（推荐）、绑设备、输实时6位码并保存恢复码；登录时账号密码后输入app动态验证码，换手机须用恢复码重绑，勿用截图旧码或忽略邮箱/手机号验证。
配置多因素认证（MFA），让登录变成“账号密码 + 动态验证码”两步走，核心是选对方式、绑对设备、验证一次成功。不用改系统，也不用开发，主流平台都支持开箱即用。
选一种适合你的动态验证码方式
动态验证码主要靠三类工具生成：手机短信、认证App（如 Google Authenticator / Authy）、或企业级身份平台（如 Entra ID）。个人用户推荐认证App，企业团队可统一用 SSO 接入。
- 认证App（最推荐）：离线生成、每30秒刷新、不依赖网络和运营商，安全性高且响应快。
- 短信/语音验证码：操作最简单，但存在SIM劫持、信号延迟、国际漫游收不到等风险。
- 邮件验证码：适合临时启用或备用，但邮箱本身若失陷，这层防护就形同虚设。
以认证App为例，四步完成绑定
无论谷歌、阿里云、1Password 还是 Infisical，流程高度一致：扫码 → 输入首码 → 保存恢复凭证 → 测试登录。
- 在账户安全设置里找到“两步验证”或“双重认证”，选择“认证器应用”。
- 手机安装 Authy、Google Authenticator 或 Microsoft Authenticator，打开扫码功能。
- 电脑端页面弹出二维码，用手机App扫描；成功后App中会出现你的账户条目和实时6位码。
- 输入当前显示的6位码完成绑定，并立即保存系统提供的恢复码（建议抄写在纸上，不要存手机或网盘）。
启用后怎么登录？
下次在新设备或浏览器登录时，输入账号密码后，会自动跳转到第二步：输入认证App里正在滚动的6位数字（注意是当前显示的，不是截图里的旧码）。
- 旧设备保持登录状态，一般不受影响，无需重复验证。
- 如果换手机或重装App，必须用恢复码重新绑定，否则可能永久锁死账户。
- 部分平台（如1Password、云堡垒机）还支持把TOTP密钥嵌入密码条目，登录网站时一键复制验证码，体验更顺滑。
几个容易踩的坑
配置看似简单，但几个细节没处理好，反而会让登录变麻烦甚至进不去。
- 没保存恢复码——设备丢失=账户归零，尤其1Password 的 Secret Key 和恢复码缺一不可。
- 用截图里的旧验证码反复试——动态码30秒失效，过期就无效，得看实时数字再输。
- 先给管理员（sysadmin）开MFA，再测试普通用户——结果管理员自己登不进去，只能重置，很被动。
- 邮箱或手机号没提前验证好——比如堡垒机邮件配置未测试，开启后收不到验证码，只能靠管理员降级处理。
