SimSmsBox 一句话回答： 验证器 App（Google Authenticator、Authy 等）会在你的设备上生成一个每 30 秒变一次的 6 位验证码，用的是你一次性设置好的密钥——不用联网。短信验证码则是每次登录时通过蜂窝网络发到你的手机号。App 方式更安全，因为没有任何可被截获的东西在传输；但短信更好设置、任何手机都能用。
验证器 App 和短信验证码都是双重验证（2FA）的一种——是你输入密码后「你拥有的东西」这一步。但它们生成验证码的方式截然不同，而这个区别对安全和便利都很重要。
一、各自怎么生成验证码
验证器 App（TOTP）： 开启时，服务会显示一个二维码，里面藏着一个共享密钥。你的 App 存下这个密钥，此后把它和当前时间结合，每 30 秒算出一个全新的 6 位验证码。两边跑同样的算法，所以验证码能对上——全程不发送任何消息。TOTP 意为基于时间的一次性密码。
短信验证码： 服务在自己的服务器上生成一个随机码，每次通过短信发给你。验证码藏在一条要穿过运营商网络才能到你手上的消息里。
二、验证器 App vs 短信：逐项对比
| 维度 | 验证器 App | 短信验证码 |
|---|---|---|
| 收码要不要网络 | 不要（可离线） | 要 |
| 传输中会被截获吗 | 不会（不发送） | 会 |
| 受 SIM 交换影响吗 | 不受 | 受 |
| 设置成本 | 扫一次二维码 | 无需设置 |
| 每部手机都能用 | 需要智能机 App | 任何能收短信的手机 |
| 丢手机后如何恢复 | 需要备份码/导出 | 重新验证号码 |
安全差距的核心在于截获：因为 TOTP 验证码从不传输，SIM 交换和短信截获这类攻击对它根本不适用。
三、什么时候短信仍然合适
短信没有过时。它胜在通用性和零设置：任何能收短信的手机都能用，不用装东西、也没有密钥要备份。对很多账号——以及只提供短信的服务——它是务实之选，你还能用几个提高到码率的方法让它更稳。
它也是你用在线号码验证时会收到的形式，因为网页面板能显示短信验证码，却没法运行绑定你账号的 TOTP App。
四、你该用哪个？
- 高价值账号（邮箱、银行、主力登录）优先用验证器 App——它消除了截获和 SIM 交换风险。
- 在服务允许时把短信留作备用，这样丢手机也不至于被锁死。
- 保存好验证器设置时给你的备份/恢复码；没有它就丢设备，是 TOTP 的主要短板。
- 想要最强方案，看看通行密钥 vs 短信 OTP，它彻底去掉了共享秘密。
常见问题
Q：验证器 App 需要网络或信号吗？ 不需要。它根据存好的密钥和时钟算验证码，完全可以离线用。
Q：手机时间不准会怎样？ TOTP 依赖时间，所以时钟严重偏差会导致验证码失效。开启网络自动对时即可避免。
Q：短信 2FA 总比不开 2FA 好吧？ 是的。短信 2FA 远胜于只用密码——只是它有一些验证器 App 能规避的弱点。
小结
验证器 App 和短信验证码都能加上一道强有力的第二因素，但它们并不对等：验证器 App 在本地算出验证码、没有可截获的东西，因而更安全；短信则胜在通用覆盖和零设置。 重要账号用 App，短信留作随手可用的兜底。