🔑 动态验证码生成工作台
支持单个与多行批量生成 · 30 秒全局倒计时同步
每 30 秒自动刷新
可使用 Google Authenticator 等应用扫码绑定
批量生成结果列表
0 条有效 30s您输入的密钥及生成的动态码全部由浏览器内置的 Web Crypto API 本地离线运算，绝不向任何外部服务器发送或存储任何数据。
精选 2FA 双重认证安全实战指南
坚持高标准密码学规范与用户隐私底线，打造极致纯粹的安全辅助工具
Google 身份验证器换手机与多设备同步完整指南
云端同步与端到端加密利弊权衡、多批次二维码离线转移教学、旧手机安全擦除规程与冷备份策略。
手机丢失或验证器损坏？主流平台 2FA 紧急恢复终极方案
突发设备丢失 15 分钟应急响应 SOP、Google/微软/Steam/币安各平台应急恢复工单指引与 3-2-1 防丢法则。
GitHub 开启两步验证与恢复代码（Recovery Codes）保存手册
强制 2FA 政策深度解读、恢复代码三级冷备份方案、SSH Key 签名挑战及避免账户锁死最佳实践。
为什么短信验证码不再安全？SIM 卡劫持与 SS7 漏洞揭秘
解析 SIM Swap 社会工程学、蜂窝网络 SS7 协议中间人窃听、Evilginx 反向代理实时钓鱼与 NIST 弃用建议。
数字资产与交易所安全：币安主流平台 2FA 防盗最佳配置
提现地址白名单与防钓鱼码机制、YubiKey FIDO2 + TOTP 混合防御、16 位冷备份密钥物理离线封存。
2026 年最佳两步验证 App 横向深度横评（Aegis/2FAS/Bitwarden）
5 款主流身份验证器开源透明度、加密备份能力、多端同步体验与威胁模型对比，评选各场景最佳选择。
遇到 Base32 密钥格式错误或设备时间偏差？
欢迎使用 2FA 安全工具箱：Base32 密钥自动修复、otpauth:// URI 解析器、毫秒级 NTP 时钟偏差检测工具。
双重认证方案深度对比：为什么首选 TOTP？
从安全等级、抗劫持能力、成本与可用性多角度评估主流 2FA 技术方案
| 认证方案 | 安全等级 | 抗 SIM 劫持 / 监听 | 离线可用性 | 硬件成本 | 便利度 | 主要应用场景 |
|---|---|---|---|---|---|---|
| ★ TOTP 动态码 (本工具) | 高 (推荐) | 免疫 (无蜂窝网络传输) | 完全支持 | 零成本 (App/网页即可) | 极高 | Google、GitHub、AWS、币安 |
| 短信验证码 (SMS 2FA) | 低至中 | 脆弱 (SIM Swapping 风险) | 不支持 (必须有信号) | 低 (依赖手机卡) | 高 | 传统网站基础保护 |
| 电子邮箱验证码 (Email) | 中等 | 依赖邮箱自身安全性 | 不支持 (需要网络) | 零成本 | 中等 (需要切换查信) | 次级备用恢复通道 |
| FIDO2 / 物理硬件密钥 (U2F) | 极高 (防钓鱼) | 完全免疫 | 支持 | 较高 (需购买硬件 Key) | 中等 (需随身携带) | 金融交易、核心基础设施 |
* 结论：对于绝大多数互联网用户与企业服务，基于 RFC 6238 的 TOTP 动态码在安全性、便利性与零硬件成本之间取得了最完美的平衡。
常用平台 2FA 双重认证开启与备份代码指南
详细步骤教您如何在主流互联网服务中安全开启 2FA 并正确备份主密钥
进入 Settings -> Password and authentication -> Two-factor authentication。点击 Enable 2FA，选择“Set up using an app”。点击“enter this text code”复制 Base32 密钥保存，并在本站验证生效。
访问 myaccount.google.com -> 安全 -> 两步验证。向下滑动选择“身份验证器应用”。点击“无法扫描二维码”，即可看到 32 位明文文本密钥，将其作为离线备份。
进入 账户安全 -> 身份验证器应用。点击绑定后，平台会展示由 16 位字符构成的“重置备份密钥”。必须使用纸质离线抄写此 16 位秘钥并保存于保险柜。
RFC 6238 TOTP 动态码是如何计算出来的？
无需网络连接，客户端与服务端如何做到毫秒级同步校验？
TOTP（基于时间的一次性密码）由互联网工程任务组（IETF）在 RFC 6238 中规范化定义。它的本质是将 动态时间戳 转化为离散的计数器（Counter），并结合双方预先共享的 Base32 私钥 进行不可逆散列运算。整个生成流程包含以下 5 个严密的数学步骤：
时间步长量化
获取自 1970-01-01 的 Unix 秒数除以 30 秒步长取整：T = floor(Epoch / 30)
Base32 解码
将用户输入的明文字符串按照 RFC 4648 规范转换还原为原始密钥字节流 (Secret Bytes)。
HMAC-SHA1 散列
以密钥字节为 Key，将 8 字节大端序时间步长为消息，执行散列运算获得 20 字节的 HMAC 签名摘要。
动态截断提取
取哈希末字节低 4 位为 Offset，截取连续 4 字节数据，去除最高符号位得到无符号 31 位整数。
取模与补位
将截断数值对 1,000,000 取模：Code = Value % 10^6
不足 6 位时在前端补 0。
为什么服务端能核验？
因为服务端与您的本地设备拥有相同的预共享密钥（Secret），并且双方的世界协调时间（UTC）处于相同的 30 秒窗口内。服务端在接收到您的 6 位数字后，在其机器上也执行一次相同的数学计算；若数字完全吻合，则证明持有合法密钥，认证通过！
验证码提示“错误或无效”？5 大排查清单
99% 的 2FA 校验失败并非由于密码学故障，而是源于以下常见原因
由于 TOTP 严格按 30 秒步长划分，如果您的电脑或手机没有开启“自动设置时间”，时钟哪怕慢了 15 秒，计算出的验证码就可能落入上一个或下一个时间周期，从而被服务端拒绝。解决方案：在操作系统设置中开启 NTP 网络时间自动同步。
标准 Base32 编码只包含字母 A-Z 和数字 2-7，绝不包含数字 0、1、8、9。用户手工输入时极易把字母 O 输成数字 0，把字母 I 或 L 输成数字 1。
如果您在目标平台多次点击了“重新生成二维码 / Reset 2FA”，平台旧的密钥将立即失效作废。请确认当前使用的密钥是最后一次生成的最新凭据。
当页面上的倒计时还剩 1-2 秒时，在您复制并提交到目标平台的过程中，时间周期可能刚好跨越。建议等待新周期的绿色进度条刚开始时进行提交。
主流 2FA 身份验证器 App 深度横向评测
选择最适合您工作流与安全偏好的双重验证客户端工具
Google Authenticator
普及度第一全球使用最广泛的双重验证应用。界面极其简洁清爽，支持 Google 账号云端同步备份，也能关闭云同步使用纯本地模式。
2FAS (开源标杆)
强推开源100% 开源且不收集个人数据。支持本地端到端加密备份至 iCloud / Google Drive，拥有浏览器插件联动通知确认功能。
密码管理器内置 TOTP
效率最高如 1Password、Bitwarden、KeePassXC 等密码库直接支持填入 TOTP 密钥。登录网页时账号、密码与动态码全自动一次性填充。
常见问题与深度解答 (FAQ)
关于 2FA 双重认证安全性、离线机制与批量使用技巧的详细解答
绝对不会。本工具是 100% 纯前端静态网页，所有 Base32 解码及 HMAC-SHA1 散列加密过程均通过 W3C 标准的 Web Crypto API 在您的浏览器本地内存中执行。
您的密钥从未也不会被发送至任何远程服务器。您可通过按 F12 检查网络 Network 监控，或开启飞行模式（断网）进行离线验证。
是的，完全一致。本工具严格遵循 IETF 国际标准 RFC 6238（TOTP 时间基础一次性密码算法）。
只要输入相同的 Base32 密钥且设备时间精准同步，生成的 6 位数字验证码与 Google Authenticator、Microsoft Authenticator、1Password 等任何主流身份验证器 100% 相同。
在域名末尾附加 https://2fa-tool.com/#JBSWY3DPEHPK3PXP 即可在打开页面时瞬间自动填入密钥并生成动态码。
根据 HTTP 协议标准，URL 中的“#”及其后内容仅在本地浏览器解析，绝不会通过网络请求发送到服务器，不会留下任何服务器日志。不过请注意妥善保管您的浏览器历史记录和书签，避免被他人窥视。
批量模式支持单行一条密钥，智能兼容多种格式：纯密钥、平台:密钥、备注,密钥 或标准的 otpauth://totp/... URI 链接。
一次可快速并发解析数十至上百条密钥，并提供一键复制全部验证码或附带备注的便捷功能。
完全可以。本网站进行了全方位的移动端响应式优化。
无论是在 iPhone 的 Safari 还是 Android 的 Chrome 浏览器中，均可体验到与桌面端一致的原生 Web Crypto API 极速本地计算与一键触控复制体验。
Base32 是一种专为人类可读性设计的二进制编码标准，仅使用英文字母 A-Z（大小写不敏感）与数字 2-7 共 32 个字符，彻底剔除了容易混淆的数字 0、1 和字母 O、I。
密钥末尾有时会带有填充符“=”，本工具会自动清洗空格、短横线及无效填充符。
完全可以。本网站的所有 CSS 样式及二维码生成脚本均完全本地化托管。
只要在联网状态下打开过本页面，即使您拔掉网线、断开 Wi-Fi 或开启手机飞行模式，算法仅依赖您设备本机的系统时钟即可持续离线实时计算动态码。
完全免费。无需任何用户注册、登录或提供邮箱、手机号等个人信息。随时打开即可直接使用，永久免费且没有任何功能限制。