VKT Toolkit · 2026年8月29日 · 阅读约10分钟

如何在没有手机的情况下在 Chrome 上使用两步验证 — 浏览器验证器指南（2026）

偏偏在最糟糕的时刻发生。你正在登录银行账户、工作后台或云服务器——这时两步验证的提示出现了。它说：请打开您的验证器应用。但你的手机没电了。或者在另一个房间。或者忘在家里了。又或者你只是不想今天第一百次拿起它。

两步验证对安全至关重要。但假设你总是随身携带手机？这是设计缺陷，而非功能。如果你可以直接在浏览器中生成两步验证码——完全不需要手机呢？

在本指南中，我们将详细介绍如何在没有手机的情况下在 Chrome 上使用两步验证，比较三种获取验证码的主要方法，并指导你在两分钟内完成浏览器验证器的设置。

问题：手机并非随时可用

两步验证通常依赖以下三种方式之一：

• 短信验证码：将一次性验证码通过短信发送到你的手机号码。
• 验证器应用：如 Google Authenticator、Authy 或 Microsoft Authenticator 等在手机上生成 TOTP 验证码的应用。
• 硬件密钥：如 YubiKey 等插入电脑的物理设备。

每种方式都有一个关键依赖：短信需要你的手机号和蜂窝信号。验证器应用需要你的手机。硬件密钥需要 USB 接口和随身携带的物理设备。如果其中任何一项不可用，你就无法登录。

这不仅仅是不方便——它严重影响效率。管理数十个账户的开发者、在不同设备间切换的远程工作者，以及手机信号不稳定的旅行者，每天都面临这个问题。

为什么基于浏览器的两步验证是缺失的一环

想想看：当两步验证提示出现时，你已经在浏览器里了。你现在就看着登录页面。如果验证器也在浏览器中，整个流程只需几秒钟而非几分钟。

基于浏览器的验证器生成与手机应用相同的 TOTP（基于时间的一次性密码）验证码——使用完全相同的 RFC 6238 标准。唯一的区别是验证码生成的位置：在手机上还是在浏览器中。安全模型完全相同，因为 TOTP 验证码是从共享密钥和当前时间生成的——不需要网络连接。

方法一：短信验证（最弱选项）

许多服务提供基于短信的两步验证作为备选方案。你通过短信接收 6 位验证码。虽然比没有两步验证好，但短信验证有明显的安全缺陷：

• SIM 卡劫持攻击：攻击者可以说服你的运营商将你的号码转移到他们的 SIM 卡上，从而截获你的验证码。
• SS7 协议漏洞：路由短信的信令协议存在已知的安全缺陷，允许消息被截获。
• 送达延迟：短信可能需要 30 秒甚至更长时间才能送达——有时根本无法送达，尤其是在国际旅行时。
• 依赖手机：你仍然需要一部有蜂窝服务的手机。如果手机没电、丢失或处于飞行模式，你就无法使用。

短信比单独使用密码好，但它是两步验证中最不安全的形式，而且仍然需要手机。

方法二：手机验证器应用（标准方案）

Google Authenticator、Authy 和 Microsoft Authenticator 等应用是两步验证的黄金标准。它们离线生成 TOTP 验证码，每 30 秒刷新一次，几乎可以与所有支持两步验证的服务配合使用。

问题是什么？它们装在你的手机上。

• 手机没电了？没有验证码。
• 手机忘在车里了？没有验证码。
• 手机屏幕碎了无法使用？没有验证码——而且如果你没有备份密钥，可能无法恢复账户。
• 在图书馆或酒店使用共享电脑？你需要每 30 秒拿出手机一次。

对于大部分工作时间都在电脑前的人来说，这种频繁的手机切换是日常摩擦点。你已经在显示器上看着登录页面了——为什么还需要另一个设备来完成登录？

方法三：浏览器扩展验证器（推荐）

VKT LocalBox2FA 是一款 Chrome 扩展程序，将 TOTP 验证码生成直接带入浏览器。它使用与 Google Authenticator 相同的 RFC 6238 算法，支持所有标准 TOTP 服务，完全不需要手机。

它的独特之处在于：

• 零数据上传：所有密钥都存储在浏览器的本地 localStorage 中。不会向任何服务器发送数据。
• 零权限：扩展程序在其清单中不声明任何特殊权限。它无法读取浏览数据、访问其他标签页或向外部发送数据。
• 实时仪表板：所有账户显示实时 TOTP 验证码，并带有 30 秒倒计时器。计时器使用颜色过渡（蓝色 → 橙色 → 红色），让你清楚知道验证码何时过期。
• 一键复制：点击任意验证码即可立即复制到剪贴板。
• 离线工作：不需要网络连接。验证码从存储的密钥和系统时钟生成。
• 6 种语言：英语、中文、日语、德语、西班牙语和法语。

分步指南：在 Chrome 中设置 LocalBox2FA

上手只需不到两分钟。操作步骤如下：

第一步：安装扩展程序

访问 Chrome 网上应用店 或 Edge 附加组件 并安装 VKT LocalBox2FA。该扩展程序轻量级（Manifest V3），不需要任何权限。

第二步：添加你的第一个账户

当网站要求你设置两步验证时，通常会显示二维码和/或文本形式的密钥。操作步骤如下：

1. 复制密钥（字母和数字组成的字符串，通常为 16-32 个字符）；
2. 点击浏览器工具栏中的 LocalBox2FA 图标；
3. 将密钥粘贴到输入框中；
4. 为账户设置自定义名称（例如 \u201cGoogle 工作账户\u201d 或 \u201cGitHub\u201d）；
5. 点击保存。

就这样。扩展程序立即开始为该账户生成 6 位 TOTP 验证码，每 30 秒刷新一次，并显示可见的倒计时器。

第三步：使用验证码

下次网站要求输入两步验证码时：

1. 点击 LocalBox2FA 图标；
2. 在列表中找到该账户（所有账户都显示实时验证码）；
3. 点击验证码将其复制到剪贴板；
4. 粘贴到两步验证输入框中。

整个流程大约只需 5 秒——无需拿起手机、解锁、打开应用或切换设备。

第四步：管理你的账户

随着你添加更多账户，LocalBox2FA 可以：

• 重命名账户：为每个条目设置有意义的标签，方便快速查找；
• 防止重复：如果你尝试保存相同的密钥，扩展会通过确认对话框阻止操作；
• 删除条目：通过确认对话框删除任何账户，防止误删；
• 切换深色模式：扩展程序自动跟随系统偏好设置。

对比：三种获取两步验证码的方法

谁最受益于基于浏览器的两步验证？

拥有多个账户的开发者

如果你管理着 GitHub、AWS、Cloudflare、Docker Hub、npm 等数十个服务的 10、20 甚至 50 多个账户，每次登录都拿出手机是一种持续的打断。使用浏览器验证器，所有验证码都显示在一个仪表板上——无需在小小的手机屏幕上翻找正确的账户。

远程工作者

在家、咖啡店或共享办公空间工作时，你的手机可能在另一个房间充电、放在包里或连接着不同的 Wi-Fi 网络。基于浏览器的两步验证意味着你只需要笔记本电脑。

旅行者

国际旅行是最不适合依赖手机两步验证的时候。你的手机可能处于飞行模式，SIM 卡在国外可能无法使用，或者你可能使用临时的当地号码。一款离线工作的浏览器扩展——不需要蜂窝网络，不需要 Wi-Fi——彻底解决了这个问题。

注重安全的用户

一些用户不希望安装需要云账户或向外部服务器同步数据的验证器应用。LocalBox2FA 将所有数据存储在浏览器的 localStorage 中——无需创建账户，无需云同步，数据不离开设备。对于重视隐私的人来说，这是最干净的两步验证方案。

关于浏览器两步验证的常见疑虑

\u201c如果有人访问我的电脑怎么办？\u201d

同样的风险也适用于手机——如果有人物理接触到你已解锁的设备，他们可以看到你的两步验证码。防御方法相同：离开时锁定电脑。LocalBox2FA 不会绕过操作系统的安全机制；它在其中运行。

\u201c如果我清除了浏览器数据怎么办？\u201d

清除 localStorage 会删除你保存的密钥。这就是为什么 LocalBox2FA 提供高级功能（一次性 $9.99），可以将所有记录导出为文本文件。将该文件保存在安全的地方——加密文件夹、密码管理器或 U 盘——你可以随时重新导入账户。

\u201c浏览器中的 TOTP 和手机上的一样安全吗？\u201d

是的。TOTP 的安全性来自共享密钥和基于时间的算法——而非运行它的设备。无论密钥存储在手机应用的安全区域还是浏览器的 localStorage 中，加密过程都是相同的。关键问题是：存储方法是否能保护密钥的私密性？LocalBox2FA 的零上传、零权限设计确保了这一点。

常见问题

在 VKT 扩展目录 中探索更多工具，或通过 [email protected] 联系我们。