MFA使用不同类别的验证要素提高认证强度，多做几个步骤不一定构成多因素。密码泄露后仍可能发生钓鱼、会话盗用或恢复流程滥用，不能保证攻击者一定无法登录。 选择方式时比较抗钓鱼能力、设备条件和账号恢复。便利性与安全需共同评估，不把短信、TOTP或生物识别的名称当成统一安全等级，也不默认需要采集生物信息。 检查管理账号和关键操作的覆盖，准备设备丢失与验证失败流程，控制例外权限。企雀是否支持MFA及自动二次验证需按实际版本确认；部署MFA也不能证明满足所有地区法规。