一旦启用了双重验证（2FA），每次登录都需要那串一次性验证码。最近不少开发者因为换了新手机，之前配置好的 Authenticator App 没法同步，导致拿不到验证码进不去 GitHub。更麻烦的是，如果连当初备份的 Recovery Code 也丢了，这账户还能救回来吗？
其实不用慌，GitHub 提供了完整的恢复流程，分两种情况处理。
手里有备用恢复码的情况
如果你还保留着设置 2FA 时生成的 github-recovery-codes.txt 文件，恢复起来很简单。这个文件里通常包含 16 个一次性代码，随便用哪个都能解锁。
登录页面下方会有'使用恢复代码'（Use a recovery code）的选项，点进去输入其中一个代码，验证通过后就能重新进入后台。进去之后记得去设置里把旧的 2FA 关掉，重新绑定新的设备，顺便再备份一份新的恢复码。
没有恢复码怎么办？
这才是最棘手的情况。既没有 Authenticator 验证码，也没有 Recovery Code，那就得走人工审核流程了。虽然慢一点，但能找回账号。
首先点击登录页的'开始账户恢复'链接，系统会引导你进行身份验证。核心思路是证明'这台电脑/这个邮箱确实属于我'。
第一步：邮箱验证
系统会向你的注册邮箱发送一个一次性密码，填进去确认邮箱所有权。这一步通常很快。
第二步：设备或密钥验证
接下来需要选择一种辅助验证方式，有三种可选路径：
-
常用设备验证 如果你有一台经常用来登录 GitHub 的电脑，直接在这台机器上操作，点击'用此设备验证'。系统会发邮件通知你，大概 1-3 个工作日能收到反馈。
-
SSH Key 验证 如果你在本地配置过 SSH Key，可以用它来证明身份。打开终端，运行以下命令：
ssh -T [email protected] verify Please provide the following verification token to GitHub Support.
把输出的长字符串复制下来，粘贴到网页的文本框里提交。这也是个很稳妥的方式，毕竟 SSH Key 本身就需要私钥才能生成，别人很难伪造。
- Personal Access Token 验证 如果你以前创建过个人访问令牌（PAT），也可以选这个。在对应页面输入 Token 即可。不过要注意，如果从来没开通过这个功能，选项会是禁用的。
提交后同样需要等待客服审核，一般 1-3 天内会通过邮件告知结果。审核通过后，你就能重置密码并重新开启 2FA 了。
几点建议
这次经历是个提醒，安全配置不能省。为了以后不再这么被动，建议做好这三件事：
- 保持邮箱可用：确保绑定的邮箱是你正在使用的，万一要收验证码别错过。
- 配置 SSH Key：除了免密拉取代码，关键时刻它能作为恢复身份的凭证。
- 备份恢复码：2FA 开启时生成的 16 个恢复码，一定要存到离线的安全地方，比如打印出来或者存在加密笔记里，千万别只存在浏览器里。
只要按步骤来，账号基本都能找回来，下次记得多留个心眼备份好关键信息。
