Playwright处理2FA需人工介入、调用第三方服务或绕过（仅测试环境）；推荐使用备用验证码、pyotp生成TOTP码、基于状态等待元素、保存上下文复用登录态，避免硬等待或直接API调用。
Playwright 登录时遇到 2FA 弹窗或验证码页面怎么办
Playwright 本身不自动识别图形验证码或处理 TOTP（如 Google Authenticator）生成的动态码，它只是浏览器自动化工具，不是验证码破解器。你得自己决定：是人工介入、调用第三方识别服务，还是绕过验证环节（仅限测试环境）。
常见现象是登录表单提交后跳转到 /verify 或弹出模态框要求输入 6 位数字，此时 page.fill() 会报错“element not visible”或超时——因为元素还没加载，或被 Shadow DOM 封装，或依赖 JS 动态渲染。
- 先确认是否真需要触发 2FA：开发环境可临时关闭 2FA，或使用已预配好 TOTP 密钥的测试账号
- 若必须走 2FA 流程，优先用「备用验证码」（backup codes）填入，它们是静态字符串，适合自动化
- 避免在 CI 环境中依赖手机扫码或短信——延迟高、不可靠、难调试
- 对 TOTP 码，可用
pyotp库本地生成：import pyotp<br>totp = pyotp.TOTP("JBSWY3DPEHPK3PXP")<br>code = totp.now() # 生成当前 30 秒有效期的 6 位码
如何等待并填写动态出现的 2FA 输入框
别用 page.wait_for_timeout(2000) 硬等——不稳定，也不符合 Playwright 推荐实践。要基于真实状态做等待，比如 URL 变化、元素出现、网络请求完成。
- 监听导航：
with page.expect_navigation(url="**/verify*"):然后page.fill("input[name='otp']", code) - 若输入框在 Shadow DOM 内（如某些企业 SSO 页面），需用
page.query_selector("html").evaluate("el => el.shadowRoot.querySelector('input')")手动穿透 - 有些页面用
contenteditablediv 模拟输入框，page.fill()无效，得用page.type()或element.evaluate("el => el.textContent = '123456'") - 注意 autofocus 行为：部分 2FA 页面会自动聚焦第一个输入框，但 Playwright 的
fill()不触发 focus 事件，必要时加element.focus()再type()
保存和复用已登录的上下文避免重复 2FA
Playwright 的 BrowserContext 支持持久化存储 cookies 和 localStorage，只要不关闭 context，2FA 验证状态就维持着。这是最实用的绕过手段，尤其适合 E2E 测试套件。
Secure Python Code Sandbox
下载
安全 Python 代码沙箱：在隔离的沙箱中执行任意 Python 代码，预装 requests、NumPy、pandas 库。返回 stdout、stderr。
立即学习“Python免费学习笔记（深入）”；
- 首次手动登录并完成 2FA 后，调用
context.storage_state(path="auth.json")保存状态 - 后续运行直接加载：
browser.new_context(storage_state="auth.json")，跳过整个登录流程 - 注意时效性：某些系统会在几小时后强制重新验证，这时
auth.json会失效，需加异常捕获 + 回退逻辑 - 敏感信息（如 session token）不会明文存在
auth.json中，但 cookies 本身有风险，别把该文件提交进 Git
为什么用 page.route() 拦截 API 请求不如直接填表单
有人想跳过前端，直接调用登录接口发 POST 请求，再把返回的 Set-Cookie 注入浏览器。这在 Playwright 中可行，但容易失败。
- 现代登录常依赖 CSRF token、时间戳签名、设备指纹头（
X-Device-ID）、甚至 WebAuthn 挑战响应，光靠模拟请求很难凑齐全部参数 -
page.route()拦截后返回伪造响应，可能破坏页面 JS 的状态机逻辑，导致后续按钮不可点击或路由卡死 - 真正稳定的方案是让 Playwright “像人一样点”，哪怕多等两秒——用
page.wait_for_function("window._isReady === true")等待页面自检完成，比硬编码更可靠 - 如果后台接口确实开放且文档完整，建议另起一个
requests脚本单独获取 token，再用context.add_cookies()注入，而不是在 Playwright 里混用两种模式
2FA 自动化的难点不在技术实现，而在验证机制的设计多样性：有的校验 IP，有的绑定设备，有的要求生物识别回退。务必先搞清目标系统的验证策略，再选对应路径——硬填、状态复用、API 替代，没有银弹。
