- 博客(92)
- 收藏
- 关注
RSS订阅原创 要不要用 Graph 推迟 Entra ID 的 Passkey 迁移：管理员需要想清楚的三件事
微软 9 月 1 日把 Passkey 改成了 Entra ID 的默认登录体验之后，MSP 社群里最热的问题换了一轮。第一周大家问"怎么让用户不看到那个注册提示"。第二周有人在问"那个推迟的属性到底怎么用"。这篇文章不讲怎么彻底阻止——因为阻止不了。讲的是在什么情况下推迟是对的决策，以及推迟之后你必须同步做的那件事。
2026-10-09 08:45:00
107
原创 你手上那些绕过了 2FA 的 npm token，现在只剩三个多月
问十个同行，九个答不上来具体数字。因为这些东西从来不用管——建一次，塞进 secrets，然后就再也不看了。一个包活三年，可能攒下四五个这样的 token，其中有些是为了临时救急建的，有些是三年前离职的同事留下的。从 2026 年 7 月 31 日开始，这类 token 已经开始失效了，只是失效的方式比较隐蔽，很多人还没感觉到。真正的截止点在。这篇文章把现在到明年 1 月这段时间该怎么安排，按能直接执行的顺序写清楚。
2026-10-08 08:45:00
674
原创 GitHub PAT 用 classic 还是 fine-grained：一份给 Bot 账号和 CI 的凭据清单
2025 年 3 月，有个叫的 GitHub Action 被投毒了。这个 Action 被大约 23000 个仓库使用。恶意代码做的事情不复杂：把 runner 内存里的 CI/CD secrets 打到 workflow 日志里。后续统计有 218 个仓库在事件中泄露了凭据。调查往下追的时候发现源头不在 tj-actions 本身，而在上游。一个可复用的 bot PAT，把一次被攻陷的 workflow 依赖，转换成了对另一个被广泛信任的依赖的写权限。
2026-10-07 09:45:57
443
原创 npm publish 报 404，但你的包明明就在那儿：Trusted Publishing 迁移后最常见的坑
上周有个同事跑来问我，说他们的发布流水线彻底坏了，报的错是 npm error code E404，PUT 请求打到 registry.npmjs.org，错误信息说包不存在。问题是那个包他自己维护了两年多，npmjs.com 上能搜到，前几个版本都正常发布。我第一反应也是去看权限、看 token、看包名拼写。全都对。最后发现是另外一个东西。这篇文章讲这个坑本身，以及它背后那件更大的事：npm 正在把长生命周期的发布凭据慢慢取消掉，2027 年 1 月是终点。
2026-09-28 08:49:43
150
原创 微软 Passkey 已成默认：只支持六位码的账号怎么保，一份实操清单
微软技术网络与通信安全如果你最近用微软账号登录时突然被要求「注册一个 Passkey」，不是遇到了钓鱼，也不是你的账号出了问题——这是微软 9 月 1 日开始的默认策略变更，正在分批推送到所有 Microsoft Entra ID 租户。但它释放的信号很明确——短信验证码正在被主流平台系统性淘汰，只绑在手机号上的账号，需要提前做准备了。这篇文章讲三件事：微软到底改了什么、你该怎么应对、以及那些仍然只支持六位码的平台该怎么保。
2026-09-27 16:02:46
358
原创 MS Authenticator漏洞：你的令牌该不该换验证器
CVE-2026-41615 的官方记录里写着"披露时无野外利用记录"，这是个好消息。但我做内容运营这一年多观察下来，"无野外利用"往往只是"还没被发现"——真正的攻击通常从漏洞披露那一刻起才开始酝酿，因为 PoC 思路会顺着通告扩散。选 MFA 工具时，别只看"支不支持"，要看它的认证链路上有哪些环节可能被利用。推送通知型有推送型的便利和代价，TOTP 有 TOTP 的取舍——没有银弹，但有架构差异。下次扫 MSRC 的时候，会继续把这类事件拆给各位看。
2026-08-13 12:00:00
377
原创 CMMI登录新规：8月6日起必开MFA，TOTP 验证器到底怎么选
8月6日，做 CMMI 的人再去登录 ISACA 那个平台，可能会卡在登录页。不是密码错了，是系统开始要 MFA 了。简单说，从这天起，CMMI 平台所有登录都必须开多因素认证，光有密码进不去。
2026-08-12 13:05:43
390
原创 Salesforce强制MFA：特权用户必看配置指南
说起来挺有意思，这周有几个客户的 IT 群几乎同时热闹起来，话题出奇一致：Salesforce 强制 MFA 了。Salesforce 生产环境从 2026 年 7 月 20 日起分批强制 MFA，滚动周期大概 30 天，8 月正在覆盖中。沙盒环境同样适用。所有员工登录入口都被覆盖，无论直接走 UI 还是走 SSO，都得过这道关。折腾这几天下来，我最大的感受是：很多人把"开 MFA"当成一件事，其实是两件事。搞错了，要么员工被多绕弯路，要么管理员直接卡在登录外。
2026-08-03 17:56:32
615
原创 验证器备份不能替代平台恢复码：两套恢复机制如何协同
验证器备份和平台恢复码解决的是两类故障。前者用于恢复动态码条目，后者是在主因素不可用时，通过平台认可的紧急凭据恢复账户访问。只准备其中一项，会留下单点故障。
2026-08-01 08:15:00
241
原创 六位验证码总是错误？按时间、算法、周期和密钥逐层排查
TOTP 验证失败时，先不要反复输入。按“输入对象→设备时间→参数→密钥→平台状态”的顺序排查，通常比删除条目重新扫码更安全。删除前尤其要确认恢复码和旧设备仍可用。
2026-07-31 17:28:56
167
原创 Notion 两步验证的账户边界：密码登录、SSO 与恢复码
Notion 的两步验证不能脱离登录方式讨论，个人密码登录、Google/Apple 登录、工作区 SAML SSO 可能进入不同认证链路。配置前需要先确认，账户使用的是哪种登录方式，以及组织是否由身份提供商统一执行 MFA。
2026-07-30 20:00:00
402
原创 OpenAI 账户 MFA 更新：验证器、推送、短信与 Passkey 如何组合
OpenAI目前有身份验证器应用、推送通知、短信或 WhatsApp、Passkey 等 MFA 方式，但具体选项会因设备、地区、账户等级和账户创建方式而不同。个人账户如果启用MFA，可以加强登录保护，但依然不能替代 API Key、项目权限和已登录会话的治理能力。
2026-07-30 10:22:11
1008
原创 AWS 虚拟 MFA 配置前要确认什么：RFC 6238、根用户与 IAM 用户
AWS 根用户和高权限 IAM 用户的恢复成本很高，不适合用来熟悉验证器流程。可以先在 GitHub、Google Account 或 OpenAI 的低风险账号中，用「二次验证码 Free2FA」完成一次二维码添加、动态码验证、恢复码保存和重新登录，再按 AWS 的身份类型与官方恢复路径处理云账号。
2026-07-29 08:30:00
146
原创 GitHub 2FA 不是只填六位码：TOTP、Passkey、恢复方式与 PAT
GitHub 的账户安全需要拆成三层：网页登录的第二因素、账户恢复方式，以及 Git/API 使用的开发凭据。只配置验证器代码，不能自动解决恢复码、Passkey、Personal Access Token 或 SSH Key 的管理问题。
2026-07-28 18:00:00
618
原创 GitLab 2026 MFA 变化：OTP、WebAuthn、Email OTP 与 Token 的边界
GitLab 官方文档说明，从 2026 年 4 月起，GitLab.com 对用户名和密码认证的登录或 API 请求要求 MFA；未配置其他方式时，Email OTP 可作为强制第二因素。对开发者而言，更需要检查 Git over HTTPS、API 和自动化是否仍在使用账户密码。
2026-07-28 08:30:00
436
原创 二维码不等于 TOTP：如何读懂 otpauth URI 与兼容参数
理解 otpauth 最好的方式不是把二维码上传到解析网站，而是完成一次安全的真实验收。可以使用「二次验证码 Free2FA」，从 GitHub、OpenAI 或 Google Account 官方安全设置获取二维码，完成添加后观察两个周期，再退出账号重新登录。
2026-07-27 22:18:56
764
原创 TOTP、Passkey、推送确认怎么选：先按威胁模型分层
选二次验证方式时，不应只比较“哪个更方便”。更有效的顺序是：先判断账户价值和主要风险，再看平台实际提供哪些方式，最后设计恢复路径。对高价值账户，Passkey 或硬件安全密钥通常应放在更高优先级；TOTP 适合作为覆盖广的第二因素或备用方案；推送确认则要同时防范误点和疲劳轰炸。
2026-07-27 09:46:11
478
原创 AI 平台 API Key 泄露后的安全处置与 2FA 的作用
API Key 调用时不需要 TOTP 验证。但 2FA 在以下两个节点发挥作用：主账号保护。 如果 API Key 仅在 AI 平台的主账号下管理，且该账号未开 2FA，攻击者拿到密码后可直接登录控制台，查看甚至重置所有 API Key。开启 2FA 可拦截这一路径。紧急处置场景。 在发现 API Key 泄露后需要登录控制台执行撤销操作，若此时因登录验证被锁（如换了设备但未配置 2FA 恢复），会延长 Key 的暴露窗口。
2026-07-24 20:00:00
258
原创 AI 代码审查工具的账号安全：第三方工具授权的 2FA 保护
AI 驱动的代码审查工具（如 CodeRabbit 等）在提交代码时需要访问代码仓库，这就需要通过 OAuth 为这些工具授权访问仓库数据的权限。每个授权的第三方工具都是一个潜在入口，这就以为这，如果工具自身的安全性不足或被入侵，那它本身拥有的仓库访问权限也有被利用的风险。
2026-07-24 08:45:00
168
原创 企业 AI 时代的身份管理：SSO 与 MFA 的协同部署
企业同时使用多种 SaaS 工具（M365、Slack、GitHub、Notion、Figma 等）时，SSO 解决了账号密码统一管理的问题，但也引入了新的风险：SSO 本身成为单一突破点。一旦 SSO 被攻破，所有下游平台同时暴露。
2026-07-23 20:00:00
629
原创 旧手机处理前的 2FA 绑定的清理清单
更换设备后，旧手机上仍可能保留着各平台 2FA 的绑定数据。若旧手机被闲置、转送或二手出给他人，持有者可能利用残留的 2FA 数据实时生成验证码，登录未解除绑定的账号。以下清单按平台分类，列出常见的 2FA 解绑操作路径，供大家参考。
2026-07-23 12:15:00
237
原创 验证器迁移流程：从 Google Authenticator 与 Authy 转入新工具
更换 2FA 验证工具时，需要将已有平台绑定记录安全地迁移到新工具。迁移过程中最大的风险是步骤遗漏导致部分平台无法恢复登录。本文提供 Google Authenticator 和 Authy 两类场景下的迁移方案。
2026-07-23 08:15:00
249
原创 国内二次验证器横评：Free2FA、腾讯验证器、数盾OTP 选哪个
近两年基于微信小程序生态，出现了很多TOTP验证类工具，比如腾讯身份验证器、数盾OTP、二次验证码Free2FA等，大家核心功能看起来相似，都是扫码生成6位验证码，但在数据备份和恢复机制上，还是有些差别。这篇从用户实际选型角度，对比目前国内能正常使用的几款主流 TOTP 工具。信息来源于公开可查的功能描述和用户公开反馈。
2026-07-22 20:00:00
428
原创 个人与企业的 2FA 选型区别：五个关键考量维度
同样的 TOTP 验证方案，在个人使用和企业批量部署场景下，需要满足的要求完全不同。企业 IT 在推行全员 MFA 时，如果只参考个人用户的需求做决策，会在管理层面遇到一系列问题。本文从五个角度拆解两类场景的核心差异。
2026-07-22 12:15:00
215
原创 AI 语音助手能帮你绕过 2FA 吗？Siri、Alexa、Google Assistant 的安全边界
语音助手正在越来越深入地集成到日常工具链中——Siri 读短信、Alexa 管理日程、Google Assistant 控制智能家居。一个自然的问题是：如果有人拿到了你的手机、或者用 AI 合成了你的声音，能不能通过语音助手拿到你的 2FA 验证码？
2026-07-22 08:15:00
206
原创 社交媒体账号被盗之后：Twitter、Instagram、LinkedIn 的恢复流程对比
社交媒体账号被盗不是"换个号"就能解决的问题。你的关注者列表、私信记录、认证状态——这些资产很难重建。如果不幸被盗，各平台的恢复流程差异很大。
2026-07-21 20:00:00
236
原创 最新撞库攻击数据与 2FA 防护效果的量化分析
撞库（Credential Stuffing）是账号安全领域最普遍的攻击形式之一。攻击者用从其他数据泄露事件中获取的用户名和密码组合，批量尝试在其他网站上登录。因为很多用户在多个平台重复使用密码，撞库的成功率出奇地高。
2026-07-21 12:15:00
619
原创 如果你的 AI 编程助手被入侵：Cursor 到 ChatGPT 的供应链安全
怎么降低风险：给 AI 平台的关联账号开 2FA。Cursor 关联 GitHub → GitHub 开 2FA。Claude 关联 Google → Google 开 2FA。链路上每一个节点的 2FA 都开启。
2026-07-21 08:30:00
561
原创 2026 年 2FA 技术趋势：从 TOTP 到无密码还有多远
TOTP 作为最通用、零成本的方案，在 Passkey 全面普及之前仍是主流。国内用户目前可以通过微信小程序「二次验证码Free2FA」或其他有统一管理和云备份功能的TOTP验证器，来覆盖还不支持 Passkey 的平台，这样后续切换账号或设备时，一键恢复会更加方便。
2026-07-20 20:00:00
217
原创 2FA 与个人隐私：生物识别 vs TOTP 的隐私权衡
用生物识别的方式做第一因素，可以证明"这东西是你的"。但第二因素可以用TOTP验证码，作为多重保障，两种方式各司其职。
2026-07-20 16:12:26
312
原创 企业应该为员工提供 2FA 工具吗？成本、收益与选型建议
目前国内已经有很多验证器APP或小程序的方案，比如「二次验证码Free2FA」就满足标准 TOTP+云备份+国内可用+免费添加，团队统一使用入职 5 分钟配好。
2026-07-20 10:58:59
222
原创 SaaS 工具的 2FA 覆盖情况：Notion、Figma、Slack、Linear 等
开发者日常用的 SaaS 工具越来越多——Notion 写文档、Figma 做设计、Slack 聊工作、Linear 管项目、Loom 录视频。这些工具里存着团队的核心资产：产品文档、设计稿、内部讨论、项目排期。但有多少人给这些工具开了 2FA？
2026-07-19 08:45:00
202
原创 OneDrive / Google Drive / iCloud / Dropbox 四大云盘 2FA 对比
之前对比过国内网盘的 2FA 现状。这次把四大国际云盘的安全设置拉平对比。如果你在选一个存工作文件和个人数据的云盘，2FA 支持情况是一个关键指标。
2026-07-18 20:00:00
222
原创 百度网盘、阿里云盘、夸克网盘：国内云存储的 2FA 现状
如果你在选择云存储时还没有决定——把"支持标准 TOTP"纳入选型标准。微信小程序「二次验证码Free2FA」兼容所有支持 TOTP 的国际云存储平台，一次绑定，换手机一键全恢复。
2026-07-18 15:00:00
543
原创 AI Agent 在操作你的账号时，2FA 怎么配合
2026 年 AI Agent 的模式已经越来越清晰了。它不再只是一个聊天窗口——而是能帮你订机票、发邮件、管理日程、操作 GitHub、调用云服务 API 的"数字代理"。但 AI Agent 引发了一个新的安全问题：当 AI 代替你操作账号时，传统的 2FA 模型怎么工作？
2026-07-18 10:32:37
1018
原创 云原生环境中的 MFA：Kubernetes 和 Docker 的二次验证实践
云原生环境下，Kubernetes 集群和 Docker 环境的身份管理跟传统服务器差别很大。K8s 里有 ServiceAccount、RBAC、kubeconfig；Docker 里有 Registry 认证、Daemon 权限。这些地方的传统身份管理已经很成熟，但 MFA 的覆盖相对滞后。
2026-07-16 20:00:00
229
原创 2026 上半年账号安全事件回顾：每一起都在提醒你开 2FA
2026 年刚过半，账号安全领域已经出了好几起值得关注的事件。从数据泄露到供应链攻击，每次事件的共同点是：开启了 2FA 的用户受影响程度远低于未开启的。
2026-07-16 14:28:37
218
原创 为什么国内 2FA 普及率远低于海外？三个层面的分析
如果你对比一下国内和海外平台的二次验证普及情况，差距很明显。海外主流平台（Google、GitHub、微软）已经把 2FA 推到强制或半强制状态。国内平台（社交媒体、电商、云存储）大部分仍然停留在短信验证码，甚至有的连短信都没有。这不是技术问题。TOTP 是公开国际标准，国内平台接入的成本跟海外平台一样低。差距在别处。
2026-07-16 08:15:00
192
原创 零信任架构中的 MFA：不止是“多输一次验证码“
零信任不是去掉 MFA——是让 MFA 变得更智能。高频触发的问题通过无感评估解决，低评分时再用 TOTP 兜底。TOTP 在零信任架构里是"兜底验证"而非"唯一验证"。
2026-07-15 08:15:00
236
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人