Gitee 双因素认证：为代码资产加上第二把锁

Gitee 双因素认证：为代码资产加上第二把锁

代码托管平台正逐步变成企业核心资产的集中存放地，源代码、密钥配置、数据库连接串以及 API 密钥这类关乎业务存续的数字资产全被存进了仓库里面，账户安全因此不再是可有可无的考量而是必须解决的基础问题；Gitee 提供的双因素认证功能正是为了应对那个讨论了多年仍未根治的隐患——单靠密码防护确实不够稳妥。

什么是双因素认证

不妨先设想一个日常情景：一套房子装上门锁就等于安全了吗，如果有人复制了钥匙照样能轻松进入，那再加一道锁情况就不同了；双因素认证的原理与此类似，它要求用户提供两种不同类型的认证凭据。

第一类凭据是用户所知的内容比如密码，第二类凭据则是用户持有的物品比如手机中生成的动态验证码；攻击者通过撞库、钓鱼或暴力破解获取了密码之后，只要无法拿到用户的手机或 TOTP 设备就仍然进不了账户；这套“密码加动态验证码”的组合把账户的保护机制从单一的“知道什么”升级成了“知道什么并拥有什么”的双重锁定。

观察近两年发生的数据泄露事件能发现一个规律：大量安全事故并非源自系统自身的漏洞，而是密码重复使用和凭证泄露所致；Gitee 推出双因素认证并逐步在部分场景中升级为强制令牌认证，正是对这一现实威胁的直接回应。

如何开启双因素认证

配置流程设计得相当简洁不会给用户带来太多负担；登录 Gitee 之后点击右上角的个人头像进入“设置”页面，在左侧导航栏中找到“双因素认证”选项并点击“添加”，页面上会生成一个二维码；拿出手机上安装的 TOTP 应用（Google Authenticator、Authy 或 Microsoft Authenticator 均可）扫描这个二维码，把应用里显示的那六位数字填入页面再点击确认就完成了绑定。

整个过程大约需要四步操作，相比现在随便注册一个网络论坛的流程也复杂不到哪里去；Gitee 在设计这项功能时的思路很明确：尽可能降低安全配置的门槛，不让繁琐的操作成为用户拒绝开启双因素认证的理由。

恢复代码：最后一道门的备用钥匙

开启双因素认证之后最让人担心的场景是什么，换了手机而旧设备没有备份数据，手机系统重置之后 TOTP 应用里的数据全部清空，或者设备丢失且手边没有任何能接收验证码的工具——账户进不去了；这个问题如果处理不好，双因素认证就会从一个安全功能变成一个潜在的风险源。

Gitee 对这个问题的处理方式是在开启双因素认证成功后自动生成一组恢复代码；这组代码由多个字母和数字组成的验证码构成，用户需要在开启时把它复制下来存放到安全的地方，可以抄在纸上放进钱包里，可以存进密码管理器，也可以放到加密的云笔记当中。

官方文档中有一句提醒说得非常直接：“如不慎丢失密码和 TOTP 验证 Key，恢复代码是访问你账号的最后手段；如恢复代码遗失，你将无法访问账号”；这段话传达的信息值得认真对待：恢复代码就是账户的最终通行凭证，丢了就真的丢了，没有任何客服渠道能帮助绕过这道屏障。

这里有一个容易被忽视的问题：许多人在开启双因素认证时习惯把恢复代码截图保存，然后这张截图就一直留在手机相册里；如果手机丢失，相册里的截图和 TOTP 应用会一同丢失，恢复机制也就失去了存在的意义；稳妥的做法是离线保存，选择纸质备份或者使用独立的密码管理器来存放。

双因素认证带来的变化：登录与代码操作规则

开启双因素认证之后，Gitee 账户的认证逻辑会出现两个关键变化——这一点很多用户是在 Git 推送操作失败之后才发现的。

登录环节的变化最直观：每次登录 Gitee 网页时，除了输入账号和密码，页面还会额外要求输入 TOTP 验证码或恢复代码；这意味着即便密码已经被泄露，攻击者也无力仅凭密码进入账户，这也是双因素认证最直接的防护效果。

代码操作环节的规则变化则是不少开发者遇到的第一道坎：开启双因素认证之后，通过 HTTP 协议推拉代码仓库时，原先的密码认证方式会直接失效，取而代之的是私人令牌（Personal Access Token）。

私人令牌需要在 Gitee 的“个人头像→设置→私人令牌”中生成；操作步骤是点击“生成新令牌”，然后勾选所需的权限范围（包括推送、拉取、项目管理等），再把生成的那一串字符复制下来，之后在 Git 命令行或 IDE 中进行认证时用这串令牌来代替密码。

企业版：从建议开启升级为强制要求

个人开发者可以选择不开启双因素认证（尽管不推荐这样做），但企业场景下的情况完全不同：一个团队里只要有一个人的账户被攻破，整条代码流水线都可能受到波及；Gitee 企业版的设计逻辑因此是把安全选择权从“让成员自行决定”转变为“由管理员统一控制”。

Gitee 企业版在安全设置中提供了一个名为“开启双重身份验证要求”的开关；开启之后，所有成员必须完成双因素认证绑定才能访问企业资源；这项功能本身属于付费版权益，它与 IP 黑白名单共同构成了企业安全策略的核心配置项。

Gitee 企业版并没有停留在强制双因素认证这一层；围绕账户安全，它实际上搭建了一整套管控工具链：IP 黑白名单限制能够分别设置允许或禁止访问企业资源的 IP 段，从而把访问来源限定在可控范围内；密码策略能够强制定期更新密码、限制错误尝试次数并设置会话超时自动登出；预警通知能够通过手机号、邮箱和微信接收安全预警，从而在第一时间发现异常；水印设置能够在页面上显示用户名加手机号后四位，以便在截屏泄密时快速追溯到具体人员。

对于金融和政务这类对代码安全有严格监管要求的行业来说，这套组合方案覆盖了从主动防御（强制双因素认证和 IP 管控）到事后追溯（操作日志和水印）的完整安全链路。

常见问题

Q1：开启双因素认证之后必须使用第三方应用吗

是的；Gitee 的双因素认证采用 TOTP（基于时间的一次性密码）协议，需要使用 Google Authenticator、Authy 或 Microsoft Authenticator 这类第三方 TOTP 应用扫描二维码来完成绑定。

Q2：手机丢失之后还能登录账户吗

能够登录，但前提是保存了开启双因素认证时系统生成的那组恢复代码；如果恢复代码也一并遗失了，账户将无法访问。

Q3：开启双因素认证之后 Git 推送报错应该怎么处理

开启双因素认证之后，通过 HTTP 推拉代码需要用私人令牌来替代密码；在 Gitee 的“个人头像→设置→私人令牌”中生成一个令牌，然后用这个令牌在 Git 命令或 IDE 中完成认证即可。

Q4：企业能否强制所有成员开启双因素认证

能够做到；Gitee 企业版在“安全设置”中提供了“开启双重身份验证要求”这个开关，开启之后全员必须完成双因素认证绑定才能访问企业资源。

声明： 本文依据 Gitee 官方帮助中心的文档整理而成，具体功能以 Gitee 平台的最新版本为准。