github 强制 2fa，有什么替代的吗

101 条回复 • 2024-08-08 15:05:05 +08:00

1 2

❮

❯

1

november

117 天前 via iPhone

1

各种密码管理软件都可以用，你再不济弄个谷歌验证器也可以吧。。。。

2

airyland

117 天前

14

那么接下来很多优秀的服务你都可能要放弃了。。

3

baleeny

117 天前

没必要吧，总比强制实名认证强吧....

4

XSNARUTO

117 天前 via iPhone

72

要开 F2A 等于账号废了，属实看不懂。

5

codebin

117 天前

gitee

6

n18255447846

OP

117 天前

@november 手机上装了验证器，有些涉及到钱的账号都开了 2fa ，但是 github 又没付费懒得开

@XSNARUTO 不想开 2fa ，账号不就废了，如图

7

allenby

117 天前 via Android

谷歌验证器+1 ，自带账号同步

8

cybort

117 天前 via Android

无可替代

9

Nav4ai

117 天前

3

建议你远离互联网，这些大厂基本上都有 2FA 。

10

1rv013c6aiWPGt24

117 天前

GitHub 比付费服务差哪了？ #6
@n18255447846

11

HughRyu

117 天前

1

什么理论，自己没找到好用的工具然后就一顿反?

Vaultwarden 自建，浏览器一键填充 TOTP ，美的不要不要的。

能开 2FA 的基本都开了。

12

GeruzoniAnsasu

117 天前

11

手机装了验证器，扫一下码就好的事都不想弄宁愿号不要了

鉴定为矫情，小时候反正打一顿就好了，现在，要不上街找个车创一下？

13

geekvcn

117 天前

1

矫情+1

14

fgwmlhdkkkw

117 天前

1

额，人体强制要求氧气和葡萄糖……

15

NoOneNoBody

117 天前

1

这性格好，适合创业

16

potatowish

117 天前 via iPhone

这么多服务里 github 是唯一强制 2FA 的吧，我一般只有 google 和涉及资金安全的才会开，其他服务即使提供了也不想开，github 上的东西本地都备份过了

17

expy

117 天前

https://repo.or.cz/reguser.cgi

18

poltao

117 天前

因为 github 虽然是开源的，但本身程序员的代码其实也是一种资产，所以开启 2FA 很合理啊，只是对我这种伞兵来说，确实安全要求没那么高罢了

19

zoharSoul

117 天前

1

天天就这废了那废了的笑死

20

Dolov

117 天前

1

推荐一下我开源的一个 github 2fa 工具，挺方便的，https://github.com/Dolov/chrome-github-2fa

21

iLtc

117 天前

7

我跟楼主心态相反，我早年碰到某个大型网站被拖库还是明文密码，然后我的好几的账号都中招了，骗子还冒充我在 QQ 上挨个找我朋友借钱，当时生活真的一团糟。后面因为记不起密码提示问题，有些账号就再也找不回来了（ QQ 账号倒是找回来了）。

从此以后我注册完账号第一步就是去找 2FA ，没有 2FA 的网站我还有考虑一下要不要继续使用。

22

processzzp

117 天前

31

@XSNARUTO 还是绑定手机号+手持身份证拍照更适合中国宝宝的体质捏

23

Tiande

117 天前 via Android

没有 2FA 和裸奔没区别😁

24

cluefly

117 天前

奇怪的是，我还是一直可以直接密码登陆即可。但身边的人都要 2 步验证登陆

25

rlds

117 天前

看不懂要开 2FA=账号废了是啥操作，用个密码管理器比如 bitwarden 或者 1password 等等，再有各种验证器，比如谷歌验证器，微软验证器等等。还有也可以选择 passkey 。添加一下不就好了。

26

jhdxr

117 天前

可以直接用 Passkey 代替密码+2FA

@potatowish @n18255447846 从 GitHub 的角度要求开 2FA 也很正常。冒充他人这种攻击对于开源软件不说常见但也算发生过好几次了。我在的开源的组现在好像都要求 2FA 了，（出于同样的考量）我对于我公司也开启了强制 2FA 的要求

27

wangpao

117 天前

看不懂这别扭的逻辑

28

sumarker

117 天前

开了 2FA 不是更安全吗？
为什么开了 2FA 号就废了？

29

jqtmviyu

117 天前

1

我刚好相反, 国内没有 2fa 强制用短信验证码的, 都是垃圾.

keepassxc 支持 totp 一键填充, 太香了.

30

yellowbean

117 天前 via Android

好像是发布的公开项目达到一定热度就会触发？我之前也遇到了防止传播恶意代码吧可能是

31

yellowbean

117 天前 via Android

@yellowbean 补充下逻辑：2fa 保护不被盗号从而保护项目

32

diagnostics

117 天前

2FA 比扫码方便，还支持跳转和通知，扫码和验证码（短信、邮件）是最恶心人的 2FA

33

davin

117 天前

GitHub 设置页面可以选择下载个 app 安装到手机上，下次需要验证的时候，会优先往你 app 发信息的，点击对应的数字确认就行了。开了其实挺好的，主要是支持跨平台且方便备份的 2FA 应用不好搞。

34

37Y37

117 天前

MFA 还是很有必要的，之前跟部分开发沟通，发现很多人都没用过 MFA ，甚至都没听说过，对这个东西不太了解，推荐看看这个，简单的科普下 https://blog.ops-coffee.cn/s/multi-factor-authentication-github-2fa-totp

35

abcde123456789

117 天前

有人用下载一个 Github App 就可以了，没有试过

我用 1P 绑定的，自动填入

36

rsyjjsn

117 天前

苹果手机自带的啊，你二维码扫一下不就好了，什么？没得苹果，那这个号废了

37

liuidetmks

117 天前

github 可以开一个无密码登录，配合 bitwarden ，完美

38

Lynntox

117 天前

无非就是多点一下的事情配置一次都不用管了

39

tyrone2333

117 天前

2fa 确实麻烦啊,特别换手机要是忘记了

40

tinytoadd

117 天前

[Leaving GitHub]( https://ratfactor.com/leaving-github)

ziglings 项目作者因为 2FA 的问题选择退出 GitHub ，转而使用 codeberg.org 了

41

tool2dx

117 天前

@cluefly github 分两种账号，有 repo 和没有 repo ，前者会强制 2fa ，后者不会管。

42

icyalala

116 天前

@tinytoadd 看了一遍，他不反对 2FA ，也知道 2FA 可以不用手机，它愿意用 2FA ，但只是不愿意在 Github 用，
原因是。。。他提供代码是自由的，没有任何保证的，他不愿意为软件供应链安全提供保证？

43

lingo

116 天前

舍近求远

44

november

116 天前

@n18255447846 #6 虽然强制的东西都不喜欢，不过这 2FA 就扫个码的事，总比手机验证码强。不过 github 并不是没有替代品，你也可以自建。

@potatowish #16 甲骨文服务器也强制开 2FA ，比 github 要早些。

45

zinete

116 天前

你买台服务器，自己搭一个

46

xiangyuecn

116 天前

嫌 app 麻烦，就用网页的

https://github.com/jaden/totp-generator -> https://totp.danhersam.com/

2fa 是好东西，但几个巨头出品的验证器 app 真是屎：google 微软

47

yianing

116 天前

@xiangyuecn 赞同

48

K2

116 天前

废了

49

xinge666

116 天前 via iPhone

扫个码 1 分钟的事情，更何况你别的账号又不是没有 2fa ，这么矫情干什么，GitHub 又不是天天要你登录。

50

tricker1215

116 天前

用不用个人选择。
其实验证码也挺省事，否定验证码是程序员在软件工程上的政治正确罢了。

51

alohar

116 天前 via Android

那就不用呗

52

Basstorm

116 天前

牛大了

53

hanksun

116 天前

2

请教各位个问题，我用微软的验证器，绑了十几个账户的 2fa ，但是换个手机登录之后一个都没有，如果主力手机噶了不完犊子了？

54

liuzimin

116 天前

@hanksun 我也是用微软验证器，感觉挺离谱的，它大概是只存本地的吧，哪天手机一废，直接 2fa 也废了。所以我还得另外保存一份 github 的 recovery-code ，用来备用重新生成 2fa 。。。感觉真是麻烦。

55

um1ng

116 天前

@XSNARUTO 强国驯化出来的逻辑是这样的

56

hanksun

116 天前

@liuzimin 所以只能把所有已绑 2fa 账户的 recovery code 都备份一遍才踏实是吧，我的上帝，好蠢啊 XD

57

ZZ74

116 天前

我也要喷强制 2fa 。真烦

58

hokori

116 天前

可以选择 gitee 反正我喜欢 2fa 没有 2fa 的账号我还不习惯

59

zbowen66

116 天前

V 站火了，啥鸟都有了

60

allenzhangSB

116 天前

3

@n18255447846 那你这不是账号废了, 是这个人都废了, 这个人永远也用不了 github 了

61

Nzelites

116 天前

自建 gitea

62

skmO

116 天前

gitlab codeberg

63

bjfane

116 天前

用 passkey 就行了，之前也是验证码，发现 passkey 非常方便。

64

jianghaifei

116 天前

2fa 再次认证不是更安全吗这咋了

65

liangjiahui

116 天前

自建 gitlab\gitea\gogs ，开需求选咯，当然，是个开发者也不可能完全能脱离 gayhub

66

MrSun1

116 天前

这东西跟腾讯的 qq 令牌差不多功能吧

67

yanyao233

116 天前 via Android

看不懂这个逻辑

68

SekiBetu

116 天前

2FA 也是密码，你可以扫码之后保存那串密钥，随时可以再生成一张二维码变成 2FA 的动态形式

69

1StpKlosr2Me

116 天前 via iPhone

矫情，2FA 有啥不好，我的草榴账号因为邮箱失效开通不了 2FA ，就一直提心吊胆怕被盗号

70

feelinglucky

116 天前

开眼了，竟然还有人说开了 2FA 帐号就废了…

71

Love4Taylor

116 天前

叛逆是吧。

72

kagenomirai

116 天前

1

大概理解 OP ，我 github 有个小号平常就存不重要的仓库和 star ，我也不想给这个账号绑定 2fa ，因为这个账号是个匿名账号。类似的情况以前也有过，就是匿名小号突然要求绑定手机，不想绑定就只能废了这个号。楼上不理解的估计没有这种习惯。我觉得这单纯个人选择罢了，说矫情的希望你们理解每个人都有不同的需求。虽然 OP 也没讲清楚为什么废号，但楼上有些没搞清楚就各种“指教”（甚者说找个车创的），收收你们的爹味。
另外回复 OP ，codeberg 是个好东西，而且服务器在德国。

73

yukinotech

116 天前

没人觉得 2FA 很麻烦吗？起码可以设置可选吧，而不是强制，但是目部分账号 github 就是需要强制开启的

74

cnt2ex

116 天前

@icyalala 感觉原文博主的逻辑也太无语了。2FA 不仅能给公司提供供应链安全保证，也能给非企业用户提供保证啊。

75

srlp

116 天前 via iPhone

实话说，github 是我常用网站唯一强制的，确实没给人选择。

话又说回来，github 对程序员来说毕竟是刚需，建议还是搞一个。推荐 2fas app

76

qaddsc

116 天前

感觉大部分人不喜欢强制的，看起来强制也可以啊。

77

yaott2020

116 天前 via Android

OP 是有多懒啊。。。

78

Dk2014

116 天前 via Android

2fa 安全是安全，但是有没有考虑过手机丢失或者故障的场景
sms 的 2fa 我是能接受的，纯 app 的就算了吧
另外 2fa 本质不还是风控没做好吗，用动态密码来填补这部分的问题
彻底挂逼的情况下你要找回帐号，首先得证明你是你自己

79

XSNARUTO

116 天前 via iPhone

@n18255447846 除了习惯 2FA 还能用 Passkey ，各平台也都在陆续支持。除非仅自用可以自建，不然大概率还是离不开 GitHub 。不过无论如何，都还是觉得你把「废了」用在这儿不太恰当，看着很奇怪 😂

80

cnt2ex

116 天前

@kagenomirai github 的 2FA 有多种方式，其中一种是 TOTP ，基本原理就是给你一串密钥，然后你用这串密钥和时间作为参数生成验证码，验证码有效期通常为 30s 。根本不涉及隐私相关东西（邮箱/手机/生物信息等等），我反对强制手机验证，额外邮箱地址等涉及隐私的 2FA 方式，强烈支持不涉及隐私并拥有各种开源标准实现的 2FA 方式。

一定要说带来的麻烦的话，无非就是每次输入密码后还得额外打开一个 Authenticator app 来查看生成的验证码罢了。不知道为什么这会是很大的困难。而且 Authenticator 在各个平台都有很多开源的实现，只要做好 Authenticator app 数据的备份（加密后存在云端），不会造成很大的不方便。

对于已经使用密码管理器的人来说，这类用户离开了密码管理器也基本无法登录，额外一个 Authenticator app 不是太大问题。
而对于没有使用密码管理器的人来说，这类用户多半是在各个平台使用相同（相似）的密码才有办法记忆下来，更该强制这类用户使用 2FA 了。