“短信验证已经开了，别人拿到密码也没用”——这句话有一个前提：验证码只能在你手上那台手机里看到。一旦它同时出现在另一台电脑上，而另一台电脑正被远控软件或者别人看着，两层验证就只剩一层。

为什么一次同步就把两层变一层

二次验证的前提是两样东西分在两个地方：口令有可能被别人知道，手机却一直在你自己手里。验证码只要到了电脑，这区别就消失了：能操作电脑的一方既能填口令也能读验证码，两个因子落在同一台机器上，两层就变回了一层。而且这是最容易发生的一步，因为它不需要谁入侵你，只要你自己装了一个“方便”的功能。

手机上要检查的三处

第一处是通知访问权限。安卓里它叫“通知使用权”或“读取所有通知”，位置在设置的应用与权限里的特殊权限。开了这一项的应用可以把短信、验证码、社交消息内容原封不动搬到电脑上，或者由它自己转发出去，而用户往往只觉得它“能弹个提醒”。不需要协同功能就把这一项收回来。

第二处是短信类应用的转发与同步开关。部分短信应用、短信转发工具、以及一些“消息云端同步”自带把短信内容发到邮箱或者另一台设备的能力，开关藏得深、提醒不明显。检查时只看一件事：这条短信除了这台手机还有哪里能看到。

第三处是自动填充。浏览器和输入法会把短信里的数字码直接填进网页表单，自己一个人用时很省事，但远程协助时屏幕上只有结果：对方看到的是填好的那一栏，不需要拿到手机。所以凡是输入验证码的那个页面，都要在确认对方已经断开之后再提交，或者先把协助会话结束。

电脑上这一侧也要对一遍：Windows 的“手机连接”、手机厂商的跨屏协同、远控软件自己的通知与剪贴板同步，通常都能单独关掉这一项而不影响其他功能。iPhone 上对应的是“文本消息转发”和 iCloud 的信息同步，转发目标列表里如果出现一台不属于你的设备，就要立刻清掉。

正在被人控制屏幕时的两个习惯

一个是把通知横幅先关掉。多数手机可以临时开启专注模式或者隐藏锁屏通知内容，这一步能在不中断协助的情况下让验证码不弹在屏幕上。另一个是不要复制：复制的内容会进入剪贴板，而剪贴板同步在不少远控和跨设备工具里默认开着，手动看着手机输，比“复制—粘贴”安全得多。

最后留一句不涉及技术的判断：任何打电话、发微信或者在远程窗口里要你“把验证码报给我一下”的人，不管自报什么身份，都不属于任何正规流程。此时前面所有检查都不需要，只要不给。