「手机系统升级后，GitHub Mobile 的认证失效了，登录时提示输入 6 位验证码，可我用的验证器 App 里那个密钥也一起丢了……恢复码？当时没备份。给 GitHub 发邮件，一周了没人回。」
这是开发者社区里反复出现的真实求助场景。2FA（双因素认证）保护了你的账号，但当你失去验证设备、又没备份恢复码时，它同样会把你锁在门外。好消息是：GitHub 提供了不止一条逃生通道，按顺序尝试，大概率能救回来。本文按「从快到慢、从自助到申诉」排序，给出完整自救流程。
先说最重要的一条：如果你在任何设备上还保存着登录态（浏览器 Cookie、GitHub Desktop、终端里的 gh CLI），立刻、马上去 GitHub 设置里重新生成恢复码、添加备用验证方式。登录态是你现在最值钱的资产——先别登出！
一、先搞清：你丢的是哪种 2FA？
| 2FA 类型 | 丢失后 | 自救难度 |
|---|---|---|
| TOTP 验证器（Google Authenticator / Authy / 1Password 等） | 密钥在手机里，手机升级/重置即丢失 | 中——靠恢复码或备用方式 |
| 短信验证 | 换号/收不到短信 | 低——申诉后易恢复 |
| 安全密钥（YubiKey 等硬件） | 硬件丢失/损坏 | 高——必须有备用 |
| GitHub Mobile 推送认证 | App 失效/换机 | 中——可用其他已登录设备重新绑定 |
二、自救通道（按优先级尝试）
通道 1：恢复码（recovery codes）——最直接
如果你曾在设置里生成过恢复码（一次性 8 位码，共 16 个），任何一个都能直接登录。恢复码通常以 fbdc... 3f2a... 这样的格式存在密码管理器、笔记、打印件里。哪怕只找到 1 个，就能救回账号。先翻：
- 密码管理器（1Password / Bitwarden 的 Secure Notes）
- 本地文档、云盘里的截图/备份文件
- 打印的纸质备份（很多安全教程建议打印存档）
通道 2：备用 TOTP 设备——你可能早就有了
如果当初扫码时「顺便」在另一台设备上扫过同一个二维码（比如同时装进手机和 Chrome 扩展 Authenticator），那台设备还能生成有效验证码。试着在：
- 旧手机（升级前没重置的话，验证器数据可能还在）
- Chrome/Edge 的 Authenticator 类扩展
- 桌面的 oathtool 或 1Password 里的条目
通道 3：SSH key 逃生通道——最容易被忽略
很多人不知道：GitHub 的 SSH key 不受 2FA 登录流程影响。如果你的电脑上配置过 GitHub SSH key（~/.ssh/id_ed25519 等），即使网页登录被锁，你依然可以：
- 终端执行
ssh -T git@github.com，确认仍能认证（能看到欢迎语即成功）。 - 通过
git操作（push/pull）确认账号可用。 - SSH 通道下，GitHub 不会要求 2FA——因为私钥本身就是「你知道 + 你有」的强认证。
但这只能证明账号还活着，不能帮你重设 2FA——重设仍需要走下面的申诉流程。
通道 4：GitHub 官方账号恢复申诉（account recovery）
如果以上全失效，走官方申诉：登录页点「Sign in」→ 输入用户名 → 在 2FA 页面点 「Use a recovery code」下方链接 / 「Try another way」→ 进入账号恢复流程。GitHub 会要求你尽可能多地提供：
- 账号邮箱（尤其是注册邮箱和备用邮箱）
- 曾经绑定的邮箱地址列表
- 最近一次成功登录的日期、常用设备/浏览器信息
- 已配置的 SSH 公钥内容、过往提交的 commit 邮箱
- 任何能证明账号归属的信息（仓库名、Gist、组织成员关系）
处理周期通常 3-10 个工作日。V2EX 上大量案例显示：信息越详细、越快通过；只写「我丢了验证器」很难通过。
社区经验：提供 SSH 公钥全文（GitHub 后台本来就有记录，能对上 = 强证明）、注册邮箱 + 备用邮箱 + 常用 commit 邮箱三者一致，是最有效的组合。
三、预防清单：现在就做，别等下次丢
| 动作 | 耗时 | 说明 |
|---|---|---|
| 生成并保存恢复码 | 2 分钟 | Settings → Password and authentication → Two-factor authentication → Recovery codes |
| 恢复码存两处 | 5 分钟 | 密码管理器 + 打印/离线文件，至少一处离线 |
| 加第二个 TOTP 设备 | 3 分钟 | 同一密钥扫码进两台设备（手机 + Chrome 扩展双保险） |
| 配置 SSH key | 5 分钟 | 逃生通道，且日常 push 免密更快 |
| 开启 GitHub Mobile 认证 | 2 分钟 | 推送确认比手输验证码更不容易「找不到」 |
四、FAQ
Q: 没有恢复码也没有备用设备，是不是就彻底没救了？
不是。走官方账号恢复申诉（上文通道 4），提供足够多的归属证明（尤其 SSH 公钥、历史邮箱），绝大多数情况可以找回。只是要等几天，且需要你记得账号细节。
Q: 我的 SSH key 能直接帮我关闭 2FA 吗？
不能。SSH key 只能证明你有该账号的代码访问权，但不能用来修改账号安全设置。重设 2FA 必须通过网页登录流程或官方申诉。
Q: 恢复码是一次性的吗？
是。每个恢复码只能用一次；用掉后建议立即重新生成一批并妥善保存。GitHub 恢复码共 16 个，全部用完需重新生成。
Q: 验证器 App 的密钥能导出吗？
取决于 App：Google Authenticator 现在支持「转移账号」（二维码导出）；Authy 支持多设备同步；1Password 等密码管理器直接以条目形式存储，可跨设备。这也是为什么推荐「手机 + 密码管理器」双保险。
Q: 相关阅读
- 密码安全完全指南 —— 强密码与 2FA 的完整方法论
- Password Security Guide (EN)
- URL 编码完全指南 —— 开发者实用工具系列