VKT Toolkit · 2026年9月12日 · 阅读约9分钟

Windows 浏览器 TOTP 验证器：在 Chrome/Edge 里直接生成两步验证码（2026）

数一数，今天你有多少次只是为了看一眼 6 位验证码而拿起手机：解锁、找到验证器应用、等列表加载、盯着倒计时、再用拇指把数字敲进电脑。如果你整天在电脑前工作，这套动作会在每一次登录时重演——邮箱、GitHub、AWS、银行、VPN、项目管理工具，一个都躲不掉。这就是一个断裂的工作流：你需要的验证码，恰恰存放在唯一不在你手边的设备上。

解决方案比想象中简单。TOTP 验证器完全可以直接运行在 Windows 的浏览器里，生成和手机应用一模一样的验证码——不用安装桌面软件，不用注册账号，也不需要任何网络连接。本文会讲清楚 TOTP 的工作原理、Windows 上现实可用的几种方案，以及如何在两分钟左右完成浏览器验证器的设置。

TOTP 是什么？（30 秒快速科普）

TOTP 全称"基于时间的一次性密码"，是 RFC 6238 定义的标准。整套机制是这样的：

• 在网站开启两步验证时，网站会生成一个共享密钥——形如 JBSW Y3DP EHPK 3PXP 的字符串，以二维码和文本密钥两种形式展示；
• 网站和你的验证器各自保存这份密钥；
• 每 30 秒，验证器把密钥与当前时间结合起来，计算出一个 6 位验证码；网站执行完全相同的计算并比对结果。

就这么简单。没有短信、没有蜂窝信号、不需要联网——只有一个密钥和一个时钟。这也是 TOTP 比短信验证码更安全的原因：没有任何数据经过网络传输、无从被截获，也不存在可以被 SIM 卡劫持利用的手机号。真正重要的只有一件事：密钥在谁手里。

Windows 上获取 TOTP 验证码的几种方案

在 Windows 电脑上工作时，拿到两步验证码有四种现实途径，各有取舍。

1. 独立桌面应用

一些开源和商业软件把 TOTP 带到了 Windows 桌面。它们离线可用、数据全在本地。缺点是：又多了一个需要安装和信任的软件，要单独管理更新，而且在没有安装应用的电脑上通常没法用。

2. 支持 TOTP 的密码管理器

Bitwarden、1Password 等工具可以保存 TOTP 密钥并自动填充验证码，方便且随密码库同步。但问题在于：你的第二重验证从此和密码住在同一个地方。一旦有人解锁了这个密码库，两重验证同时到手——这恰恰是两步验证要防住的事情。不少安全指南都建议把第二重验证放在别处。

3. 手机应用 + 手动输入

大多数人的默认选择。安全性好，手机也确实随身携带——除非它正在另一个房间充电、正在通话，或者你正通过远程桌面登录一台不属于你的电脑。手机本身不是问题，问题在于不断的设备切换。我们在如何在没有手机的情况下在 Chrome 上使用两步验证一文中详细聊过这种日常摩擦。

4. 浏览器扩展（折中之选）

浏览器验证器直接运行在你被要求输入验证码的地方——浏览器页面流程之中。VKT LocalBox2FA 是一款基于 Manifest V3 的 Chrome/Edge TOTP 扩展：零权限、全部数据本地存储、无网络、无云端、无账号。它生成的验证码与任何手机应用完全相同（同样遵循 RFC 6238），并提供实时仪表板和一键复制。想看与市场标杆的详细对比，可以阅读我们的 Google Authenticator vs LocalBox2FA 横评。

在 Chrome 或 Edge 上设置 LocalBox2FA

整个设置大约两分钟，全程不需要摄像头。

第 1 步：安装扩展

从 Chrome 网上应用店或 Edge 附加组件安装 VKT LocalBox2FA。这是一个轻量的 Manifest V3 扩展，申请零权限——它无法读取页面内容、无法窥探其他标签页、也无法访问网络。

第 2 步：通过设置密钥添加账户

当网站展示两步验证二维码时，找一下类似"输入设置密钥"或"无法扫码？"的链接。网站会显示一个 base32 密钥——一串字母和数字。在 Windows 上你不需要扫码：

1. 从网站复制设置密钥；
2. 点击工具栏中的 LocalBox2FA 图标；
3. 把密钥粘贴到输入框；
4. 给条目起个清楚的名字（如 "GitHub — 工作"）；
5. 保存。

6 位验证码立即出现，每 30 秒刷新一次，并带有可见的倒计时。

第 3 步：登录时使用验证码

下次网站要求输入验证码时，点击扩展图标，在仪表板中找到对应账户，点击验证码即可一键复制，然后粘贴到输入框。整个过程几秒钟——不掏手机、不解锁、不切换应用。

第 4 步：保持条理

仪表板一眼展示所有账户的实时验证码，支持深色模式，并提供 6 种界面语言（中文、英文、日文、德文、西班牙文、法文）。重复密钥会被拦截确认，删除条目也会二次询问。免费核心功能覆盖以上全部；高级版为一次性 $9.99 的终身升级，新增把所有记录导出为文本文件并重新导入——方便备份或迁移到新电脑（详见定价页）。许可证可在结账页面获取。

浏览器验证器安全吗？

这个问题很合理——浏览器毕竟不像手机的安全飞地那样有口皆碑。下面是坦诚的分析。

LocalBox2FA 的做法：密钥保存在浏览器的 localStorage 中，验证码基于系统时钟在本地计算，从不建立任何网络连接。清单文件中的零权限意味着它在技术上就不具备读取浏览数据或对外通信的能力。没有云端、没有同步、没有账号——你的机器之外什么都不存在。

真正的取舍：云同步验证器提供找回的便利，而这份便利的代价是你的密钥存在于别人的服务器上。LocalBox2FA 选择了相反的立场：密钥只存在于你能看见的地方。相应的代价是，验证码的安全性等同于你 Windows 用户账户的安全性。

所以请做好在办公电脑上本来就该做的事：

• 开启磁盘加密（Windows 专业版的 BitLocker，或家庭版的设备加密），这样笔记本丢失时文件——包括浏览器存储——不会暴露；
• 设置足够强的 Windows 密码或 PIN，离开工位时锁屏；
• 不要把两步验证密钥存在与他人共用的浏览器配置文件里；
• 每份密钥都在别处保留第二份拷贝（下文详述）。

做好这些基本功之后，本地浏览器验证器至少与"把密钥同步到云端的手机应用"一样安全——而且更私密，因为没有任何第三方经手你的密钥。

谁适合（以及不适合）用浏览器 TOTP

如果你符合以下情况，非常合适：

• 整天在电脑前工作：两步验证提示永远出现在验证器所在的地方，彻底告别设备切换；
• 使用远程桌面 / RDP：验证码就在浏览器会话里，无法安装软件的机器上照样能用——这是远程办公和管理员的常见痛点；
• 你是开发者：GitHub、AWS、Cloudflare、npm 和内部工具的几十个账户集中在一个仪表板上，实时验证码、一键复制；
• 看重隐私：无账号、无遥测、无云同步——密钥从未离开你的设备。

以下情况请三思：

• 打算把它当作唯一的验证码存放地。我们把话说在前面：不要让浏览器成为每份密钥的唯一拷贝。浏览器重装、配置文件损坏或笔记本丢失都可能把你锁在门外。请与手机应用搭配使用，或保留各服务提供的纸质备用码——最好两者都有。浏览器扩展是你的验证码最方便的第二个家，而不是取而代之的唯一场所。
• 共用电脑：登录你 Windows 账户的任何人都可能看到验证码。原则与手机相同——不要共用已解锁的设备。
• 主要在手机上登录：如果你的日常登录都发生在手机上，浏览器扩展帮不上忙。

常见问题

在 VKT 扩展目录 中探索更多工具，或通过 [email protected] 联系我们。