一、它凭什么每 30 秒变一次

身份验证器生成的是基于时间的动态口令（TOTP）。网站给你的不是一串密码，而是一个密钥；验证器和你登录的服务器各拿这个密钥 + 当前时间做一次运算，得出同一串六位数字。

因为双方都依赖时间，所以：

• 周期固定为 30 秒，时间一到，两边同时换新码；
• 不需要联网也能算——这是它比短信验证码更可靠的核心原因；
• 服务器会容忍轻微的时间偏差，但不会容忍你提交一个已经过期好几个周期的码。

这也解释了最常见的失败场景：手机时间不准。验证器完全依赖本机时间，如果手机时间手动调过、或者时区异常，算出来的码永远是错的——这时候要修的是时间同步，不是账号。

二、5 秒红线：为什么建议别用快过期的码

好的验证器界面会显示倒计时，并在剩余不足 5 秒时把数字变红。这不是 UI 装饰，是实打实的建议：

宁可多等 30 秒，也别在最后几秒硬抢——尤其是登录后台、支付确认这类操作，失败一次往往还要重新走一遍流程。

三、密钥怎么加进来：手动填 或 扫二维码

两种方式，效果一样：

1. 手动添加：填标题（哪个网站、哪个账号，方便日后翻找）、选分组（分类管理）、粘贴网站给的两步验证密钥，保存。
2. 二维码导入：把网站导出的 2FA 二维码图片粘贴、拖拽或选择文件导入，指定分组后批量添加。导入成功会提示本次新增了几个密钥。

密钥卡片上通常有三个信息：标题、当前动态码、右下角 30 秒倒计时。找码的时候看标题，别靠记忆对数字。

四、用的时候守住四条

• 密钥只填一次，别到处复制：密钥等于"长期凭据"，谁拿到谁就能生成你的验证码；
• 备份恢复码：换手机、清数据时，验证器里的密钥可能全部丢失。注册时网站给的备用码要单独存好；
• 优先用验证器，不用短信：短信存在被拦截、补卡劫持的风险，App 生成的码不走运营商通道；
• 用在线工具算码要谨慎：把密钥填进第三方网页，等于把长期凭据交给了对方。除非是纯本地运行、且你完全信任，否则尽量用手机上的独立验证器。

一句话收尾：两步验证的价值在于"密码泄露了也进不去"，所以它的密钥比密码更需要妥善保管。30 秒的倒计时只是表象，真正要守住的是那串从未变过的密钥。