配置备用恢复码是账户不被永久锁死的底线，必须在启用MFA时同步生成并双备份（密码管理器+纸质隔离），定期验证更新，严禁截图存储或与主密码混放。

配置备用恢复码不是“多加一道保险”，而是账户不被永久锁死的底线。一旦验证设备丢失、损坏或重装App，没有恢复码，就等于把钥匙和锁一起扔了。

为什么必须提前生成并存好恢复码

所有主流平台（GitHub、PyPI、Infisical、域名注册商等）都明确：恢复码是一次性使用的，用一个少一个；生成新码会作废旧码；官方不提供“找回”或“重发”功能。2023年GitHub因恢复码丢失导致的账户锁定量环比激增320%，根本原因就是用户误以为“以后再存”“截图就行”“存在电脑里很安全”。

四步完成安全可靠的恢复码配置

1. 在启用MFA时同步生成
不要跳过“下载/复制/打印恢复码”这一步。几乎所有平台（包括GitHub、PyPI、Infisical）都在绑定第二因素的最后环节弹出恢复码列表（通常是16个8位字母数字组合），此时必须操作，之后无法回退补领。

2. 用密码管理器加密存储
推荐Bitwarden、1Password等支持Secure Note的工具：
• 新建条目，标题写明“GitHub 2FA Recovery – 2026-09”
• 正文逐行粘贴16个恢复码，每行一个
• 添加字段：启用日期、绑定设备型号、是否已使用过

3. 纸质备份要物理隔离
打印后手写标注平台名称和生成日期，收进防火防水的保险盒或银行保管箱。切勿：
• 存在手机相册或微信聊天记录中
• 保存为未加密的TXT/PDF文件
• 和主账号密码放在同一张便签或同一个抽屉里

4. 定期验证与更新机制
• 每半年检查一次：登录账户 → 进入安全设置 → 查看“恢复代码”是否仍可访问
• 每次更换手机、重装认证App或生成新码后，立即更新密码管理器中的条目，并标记旧码已失效
• 若某次用掉3个码，剩余不足10个，就该主动点击“生成新一组”并同步更新所有备份

别踩这三个典型坑

• 只存一份：电子版+纸质版至少双备份，且存放位置不同（比如密码管理器在云端，纸本在家保险柜）
• 混淆恢复码和备份密钥：TOTP App的种子密钥（如QR码原始字符串）≠恢复码，前者用于迁移验证器，后者仅用于紧急登录，用途完全不同
• 忽略平台差异：GitHub允许用SSH密钥或PAT作为补充恢复方式；PyPI只认恢复码；Infisical邮件验证虽能临时救急，但邮箱本身若失守就形同虚设——所以恢复码必须独立于所有其他验证通道