在线接收 OTP 验证码

一次性密码是服务为单次使用而生成、用完即弃的一段简短密钥。它有两个决定性特征：只能用一次，并且签发后很快失效。

它可以通过几种渠道送达，而这些渠道并不等价。短信是支持最广泛的一种，也是这些号码所服务的渠道。身份验证器应用基于共享密钥在你的设备上生成验证码，整个过程不经过网络。电子邮件常被用作备用方式。语音则在通话中把数字读出来。其中只有第一种和你能租用的电话号码有关。

操作顺序就是全部诀窍：

1. 先下单号码。 选择你需要接收验证码的服务，在碰注册表单之前先让号码签发出来。
2. 在网站上提交号码。 把号码粘贴到要求填写号码的输入框中，然后点击发送。
3. 盯着订单。 运营商一送达，短信就会出现——无需刷新，也没有收件箱需要同步。
4. 立即使用。 等你看到验证码时，它的有效期已经过去了一部分。

常见的错误是把第一步和第二步的顺序颠倒：先请求 OTP，再跑去买号码。服务在你点击发送的那一刻就开始计时，而你却把这段时间花在了付款上。

总有两个倒计时在同时运行，而且你都看不到完整的那一个。

服务的时钟从你请求验证码时开始，通常只有几分钟。号码的时钟从订单创建时开始，并显示在订单上。如果验证码在第二个窗口内、却在第一个窗口外到达，它会被送达、能看到，但已经没用了——这就是“验证码到了却提示无效”如此常见的原因。

实际操作上：号码没摆在眼前之前，不要请求 OTP；也不要连续发起多次请求，指望其中一条能到。重复请求通常会让之前的验证码失效，还可能触发限频，导致服务一段时间内完全停止发送。

请按以下顺序排查，因为每一步都能排除一种可能：

• 看订单，而不是看注册表单。 运营商一交付，短信就会出现在订单上；表单对此一无所知。
• 如果号码到期仍未收到短信，就取消它。 没有任何短信送达时，费用会退回。
• 换一个新号码再请求一次，并立即在网站上提交。
• 如果第二个号码也什么都没收到，说明是服务在拒绝号码，而不是短信丢了——只有换一个服务，或者换一种方式处理那个账户，才能改变结果。

没用的做法是在同一个号码上反复重试。如果短信根本没有发出，等多久也等不来。短信验证详细介绍了投递链路本身，以及验证码会在哪些环节丢失。

OTP 是一种凭证。由此引出三条规则，其中第三条是使用本服务的条件：

• 任何正规机构都不会要求你把验证码念出来。 客服不会，快递员不会，银行也不会。索要你的验证码，这本身就是攻击。
• 不要输入你没有请求过的验证码。 意外收到的 OTP 说明有人已经拿到了你的密码，正站在第二道门前。
• 只接收你有权使用的账户的验证码。 租用号码来验证你正在创建或属于你的账户。接收属于他人账户的 OTP 属于欺诈，这些号码不是为此出售的。

短信是兼容性最好的第二验证因素，也是常用方式中最弱的一种。号码可能被转网转离其所有者，而租来的号码从定义上讲就不是永久属于你的。对于任何涉及资金或身份的账户，身份验证器应用或硬件密钥都是明显更好的第二因素，而大多数提供短信验证的服务也会提供其中之一。

这条建议与我们所卖的东西背道而驰，但我们照直说：租来的号码适合一次性验证，不适合作为你在乎的账户的永久第二因素。