双因素认证 2FA
密码可以猜、可以买、可以钓鱼骗走。若登录只靠「你知道什么」，一次泄露就等于失守。2FA 的狠处在于：攻击者还得再偷一样不同类别的东西。
一句话：2FA = 至少两类独立证据（知道的 / 拥有的 / 你是谁），让「只有密码」不再足够。
是什么
认证因素通常分三类：知识（密码）、持有（手机、硬件 Key、OTP）、生物特征（指纹、面容）。双因素要求登录时组合其中两类。常见形态：密码 + TOTP App、密码 + 硬件安全密钥、密码 + 推送确认；短信验证码也算一种，但相对更脆弱。
为什么重要
拖库、撞库、钓鱼专打第一因素。第二因素把「远程批量攻击」变成「还得碰到你的设备或密钥」。对企业与高价值账户，这是性价比极高的安全升级。注意：备份码要妥善保存；薄弱的恢复流程可能绕开 2FA。
怎么理解
门禁要刷卡又要指纹——偷到卡不够，还得是你本人。优先级建议：硬件 Key / Passkey > TOTP App > 短信。能上更强的，就别停在短信。
一句话记住
密码像钥匙，2FA 像第二道完全不同的锁——偷一把不够开门。
