密码泄露几乎只是时间问题。真正决定你的账号会不会丢的，是有没有第二道验证，以及第二道验证用的是什么。
短信验证码：能用，但最弱
- 优点：谁都会用，不依赖额外 App
- 弱点：SIM 卡可以被补办（"换卡攻击"）、短信可能被拦截、手机不在身边就进不去
结论：能用，但别把它当成最安全的那一层。重要账号尽量升级到下面两种。
TOTP 动态码：性价比最高
就是那些 30 秒变一次的 6 位数字，由验证器 App 根据共享密钥和时间算出来，不需要联网。常见实现：Google Authenticator、微软 Authenticator、1Password 等。
关键点：开启时会把共享密钥给你一份（通常是一串 Base32 或二维码）。请把这份密钥存到密码管理器里 —— 手机丢了、换机了，没有它就得走人工申诉。
硬件密钥：强度最高，成本也最高
YubiKey 这类 USB / NFC 密钥走的是 FIDO2 标准，验证的是"你有这把物理钥匙"，钓鱼站也拿不到有效凭证，是目前公认最强的一档。
- 至少买两把，一把随身、一把放家里当备份
- 开启后一定要同时留一份恢复码
实践建议
- 邮箱：邮箱是所有账号的"总钥匙"（密码重置全靠它），优先上硬件密钥或 TOTP
- 网银 / 支付：跟随银行给的方案，别关掉
- 论坛、小站：TOTP 就够
- 恢复码：统一存进密码管理器，别截图放相册
