这是一个创建于 503 天前的主题，其中的信息可能已经有所发展或是发生改变。
 | 1 FrankAdler 2024-05-26 16:58:35 +08:00 因为都用手机了，觉得足够了吧 |
 | 2 wevsty 2024-05-26 16:59:37 +08:00  2 1 、国内的网站强制必须认证手机号，有了手机号做 SMS 认证在搞一个 TOTP 没有必要性。 2 、大部分用户并不了解也不会使用 TOTP 。 3 、费劲巴拉支持 TOTP 也拿不到什么好处。 |
 | 3 totoro625 2024-05-26 17:00:11 +08:00 3 短信验证码和人脸取代了 东西方文化差异的原因，东方没有隐私的感念，也没有不安全的概念 |
 | 4 JensenQian 2024-05-26 17:03:07 +08:00 3 国内都用手机号 还有不要接受国内用户的下限 totp 还要下个 app ，还要扫码，万一手机丢了，坏了，你就知了 手机号补个就行了啊 |
 | 5 kitazawa 2024-05-26 17:05:19 +08:00 1 、懒，需要额外技术去实现 2 、国内老头子也知道短信怎么用，大伙也没有 totp 的习惯，为什么要花时间精力去做呢？ 3 、算半个实名了，况且对国内这些软件短信验证够安全了，不需要再搞个 totp 了 4 、我们国家这个生态，短信验证已经太成熟了，各平台服务都紧密集成，就没有 totp 的生态。你让一个 pc 安卓用了十几年的人去用苹果，大伙也用不惯啊（不知道这比喻对不对，反正就那意思） |
 | 6 datou 2024-05-26 17:06:03 +08:00 网易将军令就是魔改的 TOTP |
 | 7 Solix 2024-05-26 17:16:57 +08:00 请问国内有哪家服务商做了 TOTP 管理器，没有让用户用啥，国外的？ |
 | 8 lifansama 2024-05-26 17:24:15 +08:00 via Android @gaobh 百度云：为确保本人操作，请输入您的从 Google Authenticator 应用程序中获取 6 位 MFA 验证码。 腾讯云助手小程序里有个虚拟 MFA |
 | 11 fydss 2024-05-26 17:45:32 +08:00 国内我目前有用到就 163 邮箱，没想到吧，他支持 TOTP |
 | 12 lcy630409 2024-05-26 17:58:23 +08:00 有的 比如阿里云这种类型的 会把 MFA 当做一个和手机号同级的安全验证，级别还比较高，但是这需要用户了解这个，所以还是特定站点用的多 需要较高安全性的那种 |
 | 13 yjxjn 2024-05-26 23:03:24 +08:00 1 国内云服务支持（阿里云，腾讯云，百度云等等） V2EX 支持 163 邮箱支持 这是我目前发现的，欢迎补充。 |
 | 14 LaoDahVong 2024-05-26 23:39:55 +08:00 国外 TOTP 也没有很流行啊. 我的两个银行也都是手机号短信验证. 除了 Steam 和 Github, 暂时想不出自己用的哪个服务推广 TOTP 了. |
 | 15 kenniewwwww 2024-05-27 00:28:44 +08:00 @LaoDahVong 几乎全有好吧，discord, twitch, CF, 亚麻，任意学校公司账户 |
 | 17 R4rvZ6agNVWr56V0 2024-05-27 01:12:38 +08:00 FaceID 呀 ，银行类 APP 都普及这种方式了（ FIDO ）。 |
 | 18 JKOR 2024-05-27 01:37:13 +08:00 via Android 学习成本太高，不说老年人，多少年轻人都整不明白。咱们可能认为 TOTP 保护隐私，无需网络，但对于很多人来说就是不如短信验证好用，TOTP 不备份还容易丢。 |
 | 19 bao3 2024-05-27 01:49:16 +08:00 1 因为国内的 PM 蠢人，以为手机加短信就可以验证了，他们以为一个人从初中到死，是不会换手机号的，所以手机号加短信是可信认证。 其结果就是，当一个人的号码停用后，这个号码加短信的可信组合，下一个人可以继续用…… |
 | 20 ltkun 2024-05-27 07:13:47 +08:00 via Android 我说一个 智能门锁的开门随机密码 类似 totp |
 | 21 happyrespawnanch 2024-05-27 07:28:45 +08:00 网易邮箱可以设置 totp,别的暂时没遇到过 |
 | 22 chendy 2024-05-27 08:20:14 +08:00 3 投入不小风险不小收益不大 程序员以为：我们的网站支持了标准的 TOTP 验证，非常标准 客户认为：什么**玩意，这玩意咋配啊，卧槽我之前配了咋找不着了，就不能给我发个手机验证码么 至于楼里提隐私的…我只能缓缓打出一个问号 |
 | 23 xiamy1314 2024-05-27 08:29:13 +08:00 短信验证更合适. |
 | 24 HaoranWei 2024-05-27 08:43:14 +08:00 目前在用网易 163 邮箱的 TOTP |
 | 26 abersheeran 2024-05-27 09:16:56 +08:00 技术要服从需求，国内没有 TOTP 的需求。因为手机号是都有的，额外增加一个 TOTP 纯浪费人力物力，还要教育客户使用。 |
 | 27 mouyase 2024-05-27 09:35:00 +08:00 QQ 是支持的，玩过腾讯网游的应该都知道手机令牌 |
 | 28 sunnysab 2024-05-27 09:54:36 +08:00 TOTP 的密钥掉了真找不回来，怎么办。 另外，主流云厂商都支持了，偏向技术用户的用 TOTP 可能更多。 |
 | 29 chf007 2024-05-27 10:11:15 +08:00 你的国内网站是指啥，我所了解到的，大部分都是支持 TOTP 的，只不过很多不是强制的 |
 | 30 iLtc 2024-05-27 10:42:33 +08:00 说到 TOTP ，国外现在又掀起了 Passkey ，感觉国内短时间内不会跟上 |
 | 31 rabt 2024-05-27 10:52:46 +08:00 因为短信也属于 2fa ，和 TOTP 算是一种东西，短信也符合国情 |
 | 32 veightz 2024-05-27 11:16:35 +08:00 via Android 门槛高。totp 前司重度使用过，老是说这个东西有使用门槛，不会用的用户还挺多的。可能 v2 上的老哥觉得这玩意儿根本没啥门槛，但实际上很多用户根本不会用。 验证码软件也良莠不齐。之前某大厂的验证器有兼容问题，升级 iOS 后直接打开会丢数据。 各平台间兼容性一般。多用几个带 totp 的平台，会发现，有些平台直接会覆盖你的另一个现有密钥。丢了麻烦不小。 |
 | 33 CharmingCheung 2024-05-27 11:19:18 +08:00 1 将军令也是一种 TOTP |
 | 34 Huelse 2024-05-27 11:21:47 +08:00 提出这个问题说明不是做产品的，另外国外服务更依赖邮箱验证，很用户不知道 TOTP 是什么。 |
 | 35 privater 2024-05-27 11:22:58 +08:00 via iPhone 美国现在其实也不是都支持 2FA 、尤其是银行最近 10 年几乎都改成对短信强依赖了。 |
| 36 48y1951r9G8k7Zou 2024-05-27 11:45:15 +08:00 TOTP 只是 2FA 的一种手段，对于国内一般用户来说，便利性往往不如手机短信 我们可能算是国内公司的另类吧，毕竟自诩的是数据安全，目标用户也往往是有技术背景的。在我们网站注册的账号，绑定手机号仅作为满足监管要求的手段，不用于用户认证。密码作为主要凭证，用 WebAuthn 做 2FA 。然后每个账号可以绑定一个 GPG key ，重置密码之类的操作需要用这个 key 签名一个请求。如果 GPG key 丢了，你就算拿着身份证到我们公司前台，也不会给你找回账号。 |
 | 37 c3c8c0 2024-05-27 11:50:08 +08:00 qq 安全中心 |
| 38 Huelse 2024-05-27 12:01:59 +08:00 还有 TOTP 有相对较高的丢失率，找回难度大，这也导致使用门槛较高，相比较下手机号和邮箱更易找回。 |
 | 39 arischow 2024-05-27 12:14:08 +08:00 因为产品没想过出海 |
 | 40 nothingistrue 2024-05-27 12:24:51 +08:00 1 你要搞明白了这个问题，那你现在的问题自然就懂了：STEAM 为啥要在公版 TOTP 以外，去搞一个要额外绑定手机号的专用 TOTP 。 |
 | 41 albert0yyyy 2024-05-27 12:54:00 +08:00 反思 |
 | 42 karott7 2024-05-27 12:57:37 +08:00 手机验证码和 totp 不差不多么？再加上国内也有扫码登录，人脸验证，差不多了。 国外用 totp 是因为手机短信费用贵吧 |
 | 43 bitxeno 2024-05-27 13:14:42 +08:00 via Android 现在 TOTP 对普通用户门槛高体验很一般，除非以后手机系统直接集成了 |
 | 44 docx 2024-05-27 13:19:58 +08:00 via iPhone 主要是用户习惯，不过个别网站还是支持的，比如网易邮箱，然后就是和程序员打交道的云服务网站基本都支持（进一步证明了用户群体的原因） |
 | 45 litblue 2024-05-27 14:30:16 +08:00 国内实名制，手机绑定是几乎是强制的，可以替代 TOTP ，且更易用。 TOTP 的用户理解成本高。 手机号码有可能更换，但现在可以携号转网，也没有漫游费之类的问题，更换频率已经很低了。TOTP 因为手机更换、程序不小心卸载等原因丢失的概率更高。 |
 | 46 realpg PRO 国内版本领先更多... 未来国外的非企业应用, 更多会逐渐转向短信验证, 但是已经支持的 TOTP 不会移除 |
| 47 realpg PRO @docx #44 云服务网站倒不是因为跟程序员打交道更多什么的 他们基本也是主要短信的 MFA 是跟短信同等级别是因为 这些网站的操作者大概率要操作很多个账号 全绑一个手机 很大程度上就没啥用的 科技公司的各种客户, 一个客户一个阿里云 一堆域名分布在不同的客户账号 这些人才是云服务的 MFA 验证器的最大用户源 |
 | 48 fionasit007 2024-05-27 16:43:44 +08:00 一般网游都有这种令牌软件 |
 | 49 tunggt 2024-05-27 16:49:53 +08:00 就像楼上说的，国内有强制实名制。 本来短信验证码就已经是两步验证了，所以 TOTP 用处就没这么大了。 另外国内你懂得，各家玩各家的，当年 openid 都没搞起来，凭什么 TOTP 就能起来？ |
 | 50 woodwhales 2024-05-27 17:07:47 +08:00 我前阵子对自己的开源 web 项目（ https://github.com/woodwhales/woodwhales-music ）增加 2FA 认证功能，也想过这个问题，本打算参考了一下阿里云、腾讯云，结果都没有 2FA ，于是参考了 github 、cloudflare 腾讯云账号密码登录之后，需要小程序扫码再次确认，阿里云同理。其他云服务差不多同理。重点是，这些小程序一般都已经实名认证了，有现成直接用就行了 总结来说，个人觉得： 1 、用户习惯问题，国内用户已经培养成，手机验证码认证。而国外一般老外不喜欢随意暴露更多个人信息 2 、服务成本，虽然 2FA 认证成本更低，但仅仅是对服务开发者，对用户来说丢了恢复码成本太高了。小厂商没有这个 2FA 意识，大厂商觉得我都有用户的人脸、身份信息，有现成的小程序干嘛多加成本开发 2FA 呢，用户万一账号丢失或者盗窃了，活体认证就立马恢复了，用户体验好 |
 | 51 tyzrj766 2024-05-27 17:14:46 +08:00 1 我觉得就 2FA 那个恢复码备份就得难道大部分普通用户，很多圈内用的人都难保某一天忘记或者丢失，让普通用户搞这个更麻烦了。短信、人脸这些就方便一些，都在手机上一扫就完事。 倒是小时候 QQ 被盗过一次，后来就下血本买了一张密保卡，实体版 2FA |
 | 52 november 2024-05-27 17:18:41 +08:00 @nothingistrue 求指教，我也不明白为什么 steam 不用通用 totp ，而要弄它的 app 。我现在登录总是要去邮箱找验证码，老麻烦了。 |
 | 53 lovelylain 2024-05-27 17:53:38 +08:00 @tyzrj766 然而现在密保卡已经作废，完全依赖手机号了吧？我以前有给 QQ 设置过密保，现在完全找不到使用当时密保信息的地方，只有手机号验证，有的地方还只能主动发短信，例如我刚才想用第三方客户端收 qq 邮件，告诉我得用授权码，去获取授权码得发短信验手机号，没有其他验证方式。 |
| 54 nothingistrue 2024-05-27 19:27:18 +08:00 |
 | 55 dingwen07 2024-05-27 19:47:59 +08:00 via Android 国内的手机号安全，国外以前换卡攻击十分泛滥所以 SMS OTP 并不被认为是安全的 2FA 手段 |
 | 56 zx900930 2024-05-28 07:39:02 +08:00 奇安信 edr 也支持 totp 登录 |
 | 57 flyqie 2024-05-28 08:40:00 +08:00 via Android 那么这就有个问题了。 为什么国内的网站需要支持 TOTP 验证? 你觉得对普通 C 端用户有什么优势吗? |
 | 58 baobao1270 2024-05-28 10:36:35 +08:00 主要是没有动力去做，加上用户需求不大吧。 面向企业的，比如阿里云、腾讯云、百度云，都是支持的。 现在阿里云和腾讯云也支持 passkey 了，需要子用户（根用户不支持）。 |
 | 59 liduoduo 2024-05-28 13:30:46 +08:00 @JensenQian 这个...不考虑墙啊 google authenticator 不都支持云备份了？  |
| 60 JensenQian 2024-05-28 15:26:48 +08:00 via Android @liduoduo 左上角搜下这两的备份都多少人丢失过了 |
Select Language