先判断丢失的是验证码、密钥还是设备
动态验证码只是由密钥和当前时间计算出的短期结果，通常几十秒后就会变化；2FA密钥则是长期凭证；手机只是保存密钥的一种载体。三者丢失后的处理方式完全不同。
如果只是当前验证码不正确，应先检查时间和绑定条目。如果原手机损坏但还有加密备份，可以恢复验证器。如果密钥和备份都不存在，就必须走账户恢复流程。
账户恢复的推荐顺序
- 检查电脑、平板或另一台手机是否仍保持登录，不要急着退出。
- 查找启用2FA时保存的单次恢复代码或备用安全密钥。
- 尝试服务允许的其他验证方式，例如已绑定的Passkey或硬件安全密钥。
- 在已登录会话中重新绑定验证器，并在新设备上完成一次登录测试。
- 以上方式都不可用时，只使用目标服务的官方账户恢复或人工申诉入口。
重点：任何声称可以根据几组6位验证码反推出长期2FA密钥的服务都不可信。
为什么不能从验证码还原密钥
TOTP通过HMAC计算并截取部分结果生成短验证码。这个过程被设计成单向验证，观察一组或多组验证码并不足以恢复原始密钥。服务端也通常只保存用于验证的密钥，不会在用户忘记后重新显示旧密钥。
正确做法不是寻找所谓解码工具，而是撤销旧绑定、生成新密钥，并重新保存恢复代码。
恢复期间应该避免什么
- 不要把身份证明、恢复代码或真实密钥交给非官方客服。
- 不要连续高频尝试验证码，以免触发账户锁定。
- 不要退出仍可用的已登录设备，也不要提前清除浏览器数据。
- 不要从搜索广告中的陌生入口提交账户资料，应手动打开官方网站。
恢复成功后重新建立备份
重新绑定后，应立即下载新的恢复代码并让旧代码失效。重要账户至少准备一种独立于手机的恢复方式，例如离线保存的恢复代码或硬件安全密钥。
最后在无痕窗口完成一次完整登录，确认新验证器和恢复方式都有效，再处理旧设备和旧备份。
常见问题
只有账户密码，没有2FA验证码还能登录吗？
通常不能直接跳过2FA。应使用恢复代码、备用安全密钥、已登录设备或服务官方提供的账户恢复流程。
客服能把原来的2FA密钥发给我吗？
正规服务通常不会重新展示旧密钥。完成身份核验后，更常见的做法是移除旧验证器并让你绑定新密钥。