定义
双因素认证（2FA）要求提供两种不同类型的证明才能登录或批准某项操作：通常是您知道的东西（密码）加上您拥有的东西（接收一次性验证码的手机、验证器应用或安全密钥）。
三类因素分别是：知识（密码、PIN）、持有（手机、硬件密钥、应用）和固有特征（指纹、人脸）。同一类型的两项校验，例如密码加密保问题，并不是真正的 2FA。多因素认证（MFA）是指两个或更多因素的统称。
消息类 OTP 是部署最广泛的持有因素，因为无需安装应用。但它比基于应用或抗钓鱼的方法更弱：SIM 卡劫持、实时转发验证码的钓鱼页面以及拦截都真实存在。NIST SP 800-63B 将通过公共电话网络（短信或语音）发送的 OTP 视为“受限”认证器，并要求验证方在使用前考虑 SIM 更换或携号转网等信号。
对于 GCC 和中东北非（MENA）的消费类服务，短信和 WhatsApp OTP 仍是注册、登录和支付确认的实用默认方案；银行和支付服务商往往还适用其央行或监管机构规定的更严格规则。对于高风险操作，请提供更强的选项（验证器应用或通行密钥 passkey）。
设计建议：仅在密码正确之后才发送第二因素，把验证码绑定到单个会话和单个操作，并在消息中说明验证码的用途（例如“用于批准 500 迪拉姆的转账”）。