# 双重认证应该用第二个手机号码吗？

> 什么时候为 2FA 验证码准备第二个手机号码有意义，为什么验证器 App 或通行密钥更强，以及怎样从闲置 iPhone 上取得验证码。

最后更新：2026-10-23
规范 HTML 页面：https://www.fwrdsms.com/zh-hans/blog/second-phone-number-for-2fa
Published: 2026-10-18

只有在网站只提供短信验证码，或者共享账户或企业账户需要不依赖某一个人手机的验证码时，才用第二个手机号码做 2FA。网站如果提供验证器 App、安全密钥或通行密钥，请改用它们，因为无论用哪个号码，短信验证码都是较弱的选项。

**你需要：** 要设置第二个号码，需要一部 iOS 26 或更高版本、有自己的 SIM 卡或 eSIM 的闲置 iPhone，以及“快捷指令”App（手机里本来就有）；如果验证码要送到别人那里，还需要 [Fwrd](https://apps.apple.com/app/apple-store/id6759069713?pt=128544281&ct=zhs-blog-second-number&mt=8) 和一个接收的地方，例如私密的 Slack 频道。

## 第二个号码比自己的号码更安全吗？

在一个很窄的方面稍好一点：它让那个账户的验证码不经过你的个人号码，也不进入你个人的“信息”。但它并不会让短信验证码变得更强。同样的弱点会跟着验证码去到接收它的任何号码。

美国政府机构的资料解释了其中的风险：

- **FTC** 说，“黑客可以通过 SIM 卡交换攻击接管你的手机号码”，而验证器 App 更安全，因为它的验证码不会暴露在这种攻击之下（[FTC](https://consumer.ftc.gov/articles/use-two-factor-authentication-protect-your-accounts)，2026 年 10 月 18 日查阅）。
- **CISA** 把通过短信或语音发送的验证码列为容易遭受 SIM 卡交换攻击和手机网络 SS7 信令缺陷影响的方式，并称抗网络钓鱼的 MFA 是“最安全的 MFA 形式”（[CISA 情况说明](https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf)，2026 年 10 月 18 日查阅）。
- **NIST** 制定联邦标准，它说对带外验证使用公共交换电话网是受限的，并要求遵循其指南的服务至少再提供一种其他选项（[NIST SP 800-63B-4，第 3.1.3.3 节](https://pages.nist.gov/800-63-4/sp800-63b.html)，2026 年 10 月 18 日查阅）。
- **FCC** 在 2023 年 11 月通过规则，要求运营商在把你的号码转到新的 SIM 卡或运营商之前先核实你的身份，因为 SIM 卡交换和转出诈骗可以在不碰手机的情况下接管手机号码（[FCC](https://docs.fcc.gov/public/attachments/DOC-398483A1.txt)，2026 年 10 月 18 日查阅）。

Apple 把通行密钥描述为“能抵御网络钓鱼”，而且设计上没有可被窃取的共享密钥（[Apple](https://support.apple.com/zh-cn/102195)，2026 年 10 月 18 日查阅）。

| 选项 | 如何被攻击 | 谁能登录 |
|---|---|---|
| 通行密钥或安全密钥 | 能抵御网络钓鱼和 SIM 卡交换 | 持有该设备或密钥的人 |
| 验证器 App | 网络钓鱼，但不受 SIM 卡交换影响 | 持有装着该 App 的手机的人 |
| 发到你自己号码的短信验证码 | SIM 卡交换、号码转网、网络钓鱼 | 你，或接管了该号码的人 |
| 发到第二个号码的短信验证码 | 同上，再加上获得验证码分享的任何人 | 你或你的团队 |

## 什么时候第二个号码有意义？

当短信验证码是唯一的选择，又不该放在你自己的手机上时。常见的情形：

- **共享的工作账户**只通过短信发送验证码，而且在设置它的人不在或离职时，它也得继续可用。
- **企业号码**应该属于公司，而不是某位员工的个人号码。
- **备用。** Apple 建议，如果你有不止一个号码，可以考虑再添加一个“与你的 iPhone 无关”的号码作为额外的受信任号码，这样 iPhone 丢失或损坏时你就不会被锁在外面（[Apple](https://support.apple.com/zh-cn/122621)，2026 年 10 月 18 日查阅）。

有些服务会拒绝通话 App 提供的互联网号码。例如，Indeed 的帮助页面说，它“不再允许使用非固定的 VoIP 号码进行账户验证”（[Indeed](https://www.indeed.com/help/job-seekers/articles/34540805299085-phone-verification-issues-basic-troubleshooting)，2026 年 10 月 18 日查阅）。发到闲置 iPhone 里真实手机号码的验证码，和其他短信一样会送到，Fwrd 也能把它们转发出去，前提是线路保持有效，免得号码被回收。

## 如何从闲置 iPhone 上取得验证码

第二部手机的麻烦在于它会躺在抽屉里。以下步骤只把其中的验证码短信发给需要它们的人。

1. **在 Fwrd 中添加转发目标。** 在闲置 iPhone 上，打开 Fwrd，轻点 +，选取验证码要去的地方：私密的 Slack、Discord、Teams 或 Telegram 聊天，你自己的 Webhook，一个电子邮件地址，或另一部手机。
2. **只保留验证码。** 把该目标的筛选条件设为看起来像验证码的短信。对于电子邮件或另一部手机，还要把发送操作放进快捷指令里的“如果”，然后在该目标的“哪些短信”里打开“已添加“如果””。
3. **创建“信息”自动化。** 在 iOS 27 的“快捷指令”里，轻点“资料库”，再轻点“自动化”，然后轻点 +，再轻点“信息”。在 iOS 26 上，打开“自动化”标签页，轻点 +，然后选取“信息”。
4. **选择要转发哪些短信。** 选取“信息包含”（在 iOS 27 上，把“发件人”改为“信息”），然后输入你的验证码里含有的一个词，例如 code。开启验证码筛选条件之后，输入一个空格也行。
5. **让它不经询问直接运行，然后添加 Fwrd 的操作。** 在 iOS 27 上，关闭“运行前确认”，并确认“锁定时允许运行”（在 ⓘ 下的“隐私”中）已打开。在 iOS 26 上，选取“立即运行”。添加“转发信息到所有目标”，并把它的“信息”设为“输入快捷指令的信息”（在 iOS 26 上，依次选取“输入快捷指令的信息”和“信息”）。
6. **如果是电子邮件或另一部手机，添加 Apple 的操作。** 在 Fwrd 的操作下面，添加“发送电子邮件”或“发送信息”，把它的“邮件”或“信息”设为“转发信息到所有目标”，并填入地址或号码。[电子邮件指南](https://www.fwrdsms.com/zh-hans/guides/email)和[手机指南](https://www.fwrdsms.com/zh-hans/guides/phone-imessage)展示了每一步操作。
7. **这就完成了。** 新的验证码短信现在会自动发到你选择的地方，无论 iPhone 已解锁还是锁屏。

[验证码页面](https://www.fwrdsms.com/zh-hans/forward-verification-codes-iphone)介绍了更多转发验证码的方式，[在 Slack 里与团队共享 2FA 验证码](https://www.fwrdsms.com/zh-hans/blog/share-2fa-codes-with-team-slack)则完整介绍了 Slack 这一侧。

## 转发验证码解决不了什么

- **转发验证码会扩大能看到它的人。** 频道、收件箱或群组里的任何人都能在验证码有效期内使用它。请让目标保持私密、人数少，并且只用于你被允许共享的账户。
- **它不保护号码。** 闲置号码上的 SIM 卡交换仍会把验证码发给接管者。请向运营商询问账户锁定或转出保护。
- **手机必须保持开机并联网，**重新启动之后需要解锁一次，转发才会重新开始。
- **它不能取代更强的选项。** 如果网站之后加入了通行密钥或验证器 App，请改用它们。

## 大家接下来会问的问题

### 我能用一次性号码做 2FA 吗？

可能会弃用的号码有风险：如果运营商把它分配给别人，对方就可能收到你的验证码。请在号码失效之前，先从各个账户上移除这个号码。

### 两个人能收到同样的 2FA 验证码吗？

只有在网站把验证码发给一个号码，而且这个号码的短信会同时到达你们两个人时才可以。把那部手机上的验证码短信转发到共享的私密频道就是这样做的，频道里的每个人都能使用每一条验证码。

### Google Voice 可以用于 2FA 吗？

这取决于网站。有些服务根本不接受互联网（VoIP）号码用于验证。[Google Voice 能收验证码吗？](https://www.fwrdsms.com/zh-hans/blog/google-voice-verification-codes)介绍了 Google 对此的说法。

### Fwrd 会看到我的验证码吗？

不会。Fwrd 没有账户，也没有自己的服务器，短信在 iPhone 上处理。每条验证码都从手机直接发到你设置的目标，所以能读取该目标的人就是会看到它的人。

## 继续阅读

- [短信转发应用安全吗？它能看到什么](https://www.fwrdsms.com/zh-hans/blog/is-sms-forwarder-app-safe)
- [Google Voice 能收验证码吗？](https://www.fwrdsms.com/zh-hans/blog/google-voice-verification-codes)