双重验证要不要每次登录都验：分场景的免验证规则

很多人开了双重验证，第一周就开始烦：早上开电脑要验一次，午休回来要验一次，手机连过的设备还要再验一次。于是去设置里找「信任此设备」「30 天内不再询问」，勾上之后世界清净了——直到某天发现，别人在你信任过的设备上登录，也不需要验证。

「要不要每次登录都验」不是态度问题，而是设备归属问题：这台设备是不是只有你能碰、有没有全盘加密、会不会被别人临时借用。想清楚这三点，规则自然就出来了，不必在「全验」和「不验」之间二选一。

一、先搞清「免验证」到底免的是什么

大部分站点的「记住这台设备」不是在本地存密码，而是给设备发一个长期有效的信任令牌。下次登录时带上这个令牌，服务端就认为「这台设备已经过了第二因素」，直接放行。

• 免的是第二因素，不是密码。密码仍然要输，令牌只是替你省掉验证码那一步。
• 令牌存在浏览器或系统里。清 Cookie、重装系统、换浏览器，令牌就没了，需要重新验证。
• 令牌能被复制。恶意扩展、同步到他人账号的浏览器配置、导出的人资料夹，都可能把令牌带走。

所以「信任设备」的本质是把安全性从一次性验证码转移到设备本身。设备可信，免验证就是加分项；设备不可信，免验证就是把门敞开。

二、三类设备，三套规则

不要用一个开关管所有设备。按「谁在用、丢了会怎样」分三类，规则才有意义。

第一类的「附加条件」不是可选项。没有锁屏密码的电脑，信任设备等于没有第二因素：任何人打开就能用，令牌还在。全盘加密（Windows 的 BitLocker、macOS 的 FileVault）解决的是设备被拿走后的离线读取问题。

三、按账号敏感度决定验证频率

同一台设备上，不同账号也不该一个标准。用「多久没验会心疼」来判断，比背规则好用。

把「每次都验」留给三五个账号就够。全部账号都每次验证，结果是你会开始嫌麻烦、关掉通知、甚至把验证码截图发到聊天工具里——那才是真正的风险。

四、登录环境变化时，必须重新验证

有些情况即使设备被信任，也应该立刻要求重新验证。这些信号意味着「环境不再是原来那个环境」。

1. IP 或国家突变。早上在国内、下午显示境外登录，服务端通常会拦，你自己看到也要警觉。
2. 浏览器或系统大版本更新。换浏览器等于换令牌容器，重新验证一次正好确认状态。
3. 修改密码、换绑手机之后。改完密码应当让所有旧会话失效，这是清除潜在令牌的最佳时机。
4. 设备借给他人之后。哪怕只借了一小时，也要去安全设置里撤销该设备的信任。

第三条常被漏掉：很多人改完密码就直接继续用，旧设备上的会话还活着。改密码+撤销所有会话才是完整动作。异常登录的处理思路见账号异地登录提醒怎么开。

五、把「信任列表」当成需要维护的清单

免验证不是设完就不管。信任设备列表会随时间膨胀，换下的旧手机、离职同事的电脑、临时登录过的平板，都可能还留在里面。

• 每季度清一次。打开账号安全设置 → 设备/会话管理，删掉不认识的、已经不用的。
• 换手机先撤销旧机。不是等旧机自动掉线，而是主动移除。
• 命名设备。能改名的平台把设备标成「家里的 ThinkPad」，日后一眼能分辨。
• 看到陌生设备立即改密码。不要只删设备，先假定密码已泄露。

这一步的实际收益很高：多数「账号被别人登过」的案例，入口往往就是一台上古设备留下的有效令牌。相关的设备管理细节可参考双重验证能不能设常用设备免验证。

六、验收清单

六项过完，你的「免验证」策略才算有边界。

「重验周期」这一项，很多平台默认是「永久信任」，需要手动在设置里改成 30 天或 90 天。找不到选项时，至少做到每季度人工清一次列表。

常见问题

每次登录都验证，会不会更容易被钓鱼？

频率本身不增加钓鱼风险，但高频验证会让人对「输入验证码」麻木，反而更容易在假页面上照做。降低风险靠的是核对域名与用 Passkey，而不是减少验证次数。

公司电脑要求每天验证，能改成信任吗？

取决于公司策略。工作账号通常由管理员统一设置会话时长，个人无法改。更好的做法是把验证器装在手机上，并在公司电脑使用独立浏览器配置。

信任设备后，改密码还需要重新验证吗？

应该需要。改密码会让旧会话失效是正确设计；如果改完仍不需要验证，说明该平台的令牌没有随密码更新，建议手动撤销所有设备。

为什么有的网站勾了「记住我」，下次还要验证？

可能是 Cookie 被浏览器清理策略删掉、开了无痕模式、或平台限制了令牌有效期。也可能是同时装了拦截扩展，把存储请求拦了，逐一排除即可。

小结

要不要每次登录都验，取决于设备归谁、账号值多少：专属设备且开了锁屏与加密，可以信任；公共与半共享设备一律不信任；主邮箱、密码库、支付类永不免验证。再配上 30~90 天重验和每季度清理信任列表，你既不会天天被验证码打断，也不会把门留给一台旧设备。