这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。
MFA 认证因子
为什么需要第二层
密码可能泄露，Token 可能被盗，设备可能被共享。MFA（多因素认证）的目标是：在高风险场景中增加第二层证明，让攻击者即使拿到密码，也不一定能完成登录或敏感操作。
三类认证因子
| 类型 | 含义 | 示例 |
|---|---|---|
| 你知道的 | 知识因子 | 密码、PIN |
| 你拥有的 | 持有因子 | 手机、硬件密钥、TOTP 应用 |
| 你本人的 | 生物特征 | 指纹、人脸 |
MFA 至少要组合两类不同因子。比如：
- 密码（你知道的）+ TOTP 验证码（你拥有的）——经典组合。
- 密码 + 硬件密钥（WebAuthn）——更强。
「密码 + 另一个密码」不算 MFA——两个都是知识因子，攻击者只要拿到其中一个知识库，两个一起沦陷。
常见的第二因子怎么选
| 方式 | 优点 | 风险 |
|---|---|---|
| 短信验证码 | 上手简单 | SIM 卡攻击、短信劫持、运营商被钓鱼 |
| TOTP 应用（Google Authenticator 等） | 不依赖网络、相对安全 | 手机丢失 / 换机麻烦 |
| WebAuthn / 硬件密钥 | 抗钓鱼、抗劫持 | 成本高、需要硬件 |
| 推送确认（App 弹窗） | 体验好 | 依赖设备在线 |
短信验证码曾是默认选项，但现在越来越多系统默认降低其信任等级，因为 SIM 卡攻击是真实威胁。TOTP 或 WebAuthn 是更稳妥的方向。
不要只靠一种
如果你的 MFA 只支持「短信验证码」，攻击者盯上的就是一个单一通道。好的设计是提供多种因子供用户选择，并且按安全性分级：
- 高强度因子（WebAuthn / 硬件密钥）→ 用于最高风险操作。
- 中强度因子（TOTP）→ 用于常规二次验证。
- 短信 → 保留为兜底，但风险场景要谨慎。
一句话
MFA 的核心不是「多一个验证步骤」，而是组合不同类别的因子，让攻击者偷到一类凭证也不够用。下一节看什么时候该触发它——不是每次都触发。
发现内容有问题？
告诉我们哪里需要改进。