在 2019 年正确实现 2FA

摘要

PyPI 已支持 TOTP 与 WebAuthn。Trail of Bits 结合为 Warehouse 添加 2FA 的经验指出：第二因子应是用户“持有”或“本身”的东西，短信验证码已不可靠，且应始终优先 WebAuthn 而非 TOTP。