二次验证能挡住多少攻击

先给结论：二次验证能挡住绝大多数靠密码得手的攻击，挡不住已经登录进来的攻击。把它当保险栓合适，当万能锁不行。知道这条边界，才知道该配什么、配了之后还缺什么。 一、挡得住的：密码泄露类 撞库（拿别处泄露的账号密码来试）、钓鱼页骗走的密码、暴力破解，这类攻击的共同点是只掌握"你知道什么"这一样东西。开启二次验证后，登录还需要第二样：TOTP 动态码（基于时间的一次性验证码，三十秒更换一次，六位数字）、短信验证码或硬件密钥。第二因子拿不到，密码再对也进不来。考虑到密码在长期使用中几乎必然泄露过一次，这个前提决定了二次验证的性价比极高。第二因子里，短信验证码用得最多却最弱，存在补办手机卡被劫持的路径，管理类账号优先用 TOTP 应用或硬件密钥。 二、挡不住的：会话劫持类 登录完成后，Cookie 就是通行证。攻击者通过跨站脚本偷到 Cookie，或在终端植入恶意程序，可以带着现成的会话直接进来，全程不再经过登录页，二次验证自然拦不到。针对登录后环节的攻击，验证码类手段都在盲区里，这是它的能力边界，不是配置失误。手机丢失的应对也要提前备好：TOTP 的恢复码离线存一份，硬件密钥留备用一把，别让第二因子自己变成单点。 三、补上边界要靠组合动作 会话层的风险要用会话层的办法：Cookie 加 HttpOnly 和 Secure 属性，防脚本读取与明文传输；设置合理的会话超时，闲置半小时自动失效；异地登录、新设备登录触发提醒；改密、转账、删数据这类关键操作再要一次验证。挑选配套措施有个简单的判断法：密码、验证码、会话三条路里哪条最便宜，攻击者就走哪条，补的应该是那条。一句话：二次验证管进门，后面这些管进门之后。 给全部管理后台和云控制台开启二次验证，是当下就能做完的事，成本五分钟，收益是砍掉最常见的一类入侵路径。还没开的账号，今天就可以动手。