TOTP、Passkey、推送确认怎么选：先按威胁模型分层

选二次验证方式时，不应只比较“哪个更方便”。更有效的顺序是：先判断账户价值和主要风险，再看平台实际提供哪些方式，最后设计恢复路径。对高价值账户，Passkey 或硬件安全密钥通常应放在更高优先级；TOTP 适合作为覆盖广的第二因素或备用方案；推送确认则要同时防范误点和疲劳轰炸。

三种方式解决的问题不同

这里的“更强”不是绝对排名。一个没有准备恢复方式的强因素，可能在换机或设备损坏后把用户锁在账户外；一个配置规范、备份清楚的 TOTP，也比只依赖密码更完整。

先看四类账户

1. 邮箱、云平台和开发者主账号

它们往往能重置其他服务，或掌握代码、密钥与账单。优先考虑 Passkey、硬件安全密钥等抗钓鱼方式；若平台允许，再保留一项独立备用因素。恢复码应离线保存，不能只放在同一台手机里。

2. 团队管理员账号

重点不只是登录，还包括人员离职、设备交接和紧急恢复。应确认：谁持有主因素、谁保管备用方式、恢复操作是否需要双人确认，以及自动化任务是否仍在使用个人密码。

3. 普通个人服务

如果平台只提供验证器代码，TOTP 是合理选择。配置时要核对算法、位数和周期，并完成一次真实登录。不能因为二维码能被扫描，就直接推断任意验证器都兼容。

4. 低价值、可快速重建的账号

仍建议开启平台提供的 MFA，但恢复成本和管理复杂度可以低一些。不要为了追求“因素越多越好”，在多个设备上无规则复制敏感凭据。

一个可执行的决策顺序

1. 列出账户失守的后果：能否重置其他账户、访问生产环境或产生费用；
2. 查看平台官方选项：不要把短信、邮件、推送和 TOTP 混为一类；
3. 高风险账户优先抗钓鱼因素：平台支持时，优先 Passkey 或安全密钥；
4. 补齐备用方式：第二把安全密钥、恢复码或平台认可的备用因素；
5. 验证真实流程：退出后重新登录，确认主因素和备用路径都可用；
6. 记录恢复责任：团队账户要写进资产清单，不依赖某个人记忆。

TOTP 在 Passkey 普及后仍有位置

TOTP 的价值主要在兼容范围和部署成本。许多系统仍提供验证器入口，部分团队也需要在不同设备与平台间保持一致的管理方式。但它不具备基于站点域名的抗钓鱼特性，不能被写成 Passkey 的等价替代。

更稳妥的部署思路是分层：关键账户把抗钓鱼因素作为主方式，TOTP 作为平台允许的补充；暂不支持 Passkey 的系统，则把 TOTP 与恢复码、设备时间校准和备份演练一起管理。

配置完成前的检查表

• 已确认平台官方支持的 MFA 类型；
• 已完成真实登录，而不是只完成扫码；
• 已保存恢复码或备用因素；
• 恢复材料没有与主设备放在同一处；
• 团队账号已记录持有人与交接方式；
• 平台变化后有复核日期。

下一步不是再增加一个验证码 App，而是先为最重要的三个账户补齐“主因素、备用因素、恢复材料”三项记录。

相关阅读

GitHub 2FA 强制时代：开发者两步验证完全指南-CSDN博客

SSH 登录怎么加二次验证？Linux 服务器 TOTP 加固配置教程-CSDN博客