六位验证码只是一次性结果，真正需要保护的是二维码或手动设置密钥中的 TOTP 种子。验证码会过期，种子通常不会；任何得到种子的人都可以持续生成新的验证码。

扫码时不要保存二维码截图

绑定账户时，xypass 会读取二维码中的服务名称、账号和种子。确认验证码可以通过目标网站后，删除相册、下载目录和聊天记录里的二维码截图；否则截图本身就是第二因素的长期副本。

密码和验证码放在一起有什么取舍

把 TOTP 保存在 xypass 中，跨设备使用更方便，也能随加密保险库一起备份；但如果攻击者同时解锁了该保险库，他可能同时得到密码和验证码。高风险账户可以把第二因素保存在独立设备或硬件密钥中。

恢复码不要和唯一副本放在一起

启用两步验证时，目标网站通常会提供恢复码。至少保留一份离线副本；如果恢复码、密码和 TOTP 种子只有同一个保险库中的一份，忘记主密码或设备全部损坏时仍可能无法登录。

更换或删除前先到目标网站操作

不要直接在 xypass 中删除仍在使用的种子。先登录目标网站，关闭或重新绑定身份验证器，用新验证码完成一次验证，再删除旧记录。修改种子会进入版本历史，但历史不能代替目标网站提供的恢复流程。

列表只在需要显示时计算验证码，保险库锁定后不继续展示。完整的移动端 TOTP 体验仍在分阶段上线，因此本文标记为“方案预览”。