先搞清楚：迁移 2FA 的风险点在哪里
两步验证（2FA/TOTP）本质是“时间变化的一次性验证码”。换手机/重装系统时，最大风险不是验证码丢了，而是：你只剩 2FA，却没有“恢复通道”。因此迁移前要先把恢复码、绑定邮箱/手机号、账号清单整理好，再选择合适的工具。
迁移前 10 分钟准备：做一份「账号与恢复清单」
建议你打开常用的 10-30 个账号（邮箱、网盘、支付、开发者平台等），逐个确认并记录：
- 账号名称/登录邮箱（不要写密码）
- 2FA 类型：短信 / TOTP 验证器 / 硬件密钥
- 是否已下载恢复码（Recovery Codes）
- 是否设置了备用验证方式（备用邮箱、备用手机号、备用设备）
关键建议：恢复码只在你重新设置 2FA 时最有用，优先把“没有恢复码”的账号先补齐。
三种常见方案怎么选（按优先级推荐）
不同人适合不同方案，你可以按下面思路选：
- 方案 A：带云同步的验证器（适合经常换机/多设备）——优势是迁移更轻松；注意开启设备级加密与强口令。
- 方案 B：只在本机保存的验证器（适合更保守的安全策略）——优势是“少一层云”；迁移时要严格做导出/导入或重新绑定。
- 方案 C：把 2FA 纳入密码管理器（适合追求统一管理）——优势是登录体验顺滑；注意单点风险：主密码必须强，且要有应急恢复。
跨端迁移通用步骤（iOS/Android/Windows/macOS 都适用）
- 先加新设备，再删旧设备：不要先把旧手机清空。确保新设备能正常生成验证码并通过 2 次以上登录验证。
- 逐个账号验证：每迁移 3-5 个账号就实际登录一次，避免最后一起出错排查困难。
- 保留应急入口：至少保留一种备用方式（恢复码/备用邮箱/备用手机号/可信设备），并确认可用。
- 做一次“断网演练”：在无网络情况下尝试打开验证器生成验证码，确认你不是依赖短信或推送。
Windows/macOS 的落地建议：两套组合最省心
- 组合 1（更易用）：手机端作为主验证器 + 电脑端用浏览器/系统钥匙串保存登录态；电脑只在需要时输入 2FA。
- 组合 2（更稳妥）：手机端主验证器 + 备份一套恢复码（离线保存）；电脑端不额外存 2FA，降低被盗用风险。
最后的安全收尾：迁移完成后检查这 6 件事
- 新设备已开启锁屏与生物识别，且有强解锁密码
- 关键账号已下载恢复码并离线保存
- 旧设备仍保留一段时间（至少 7 天）再彻底清理
- 邮箱与手机号能正常接收安全通知
- 确认没有把恢复码/二维码发到群聊或公开网盘
- 更新账号安全页的“可信设备/登录记录”，清掉不认识的会话
常见问题（快速排雷）
Q：我只有旧手机能登录，如何最稳妥？
先在每个账号的安全设置里新增备用验证方式（恢复码/备用邮箱/备用手机号），确认可用后再迁移验证器。
Q：能不能截图保存二维码？
不建议。二维码等同于密钥，截图一旦外泄风险很大。优先用官方导出/迁移流程，或使用离线保存的恢复码兜底。
