内容来源：https://www.engadget.com/2264763/using-password-manager-instead-of-authenticator-app-pros-cons/

内容总结：

密码管理器与身份验证器应用：双因素认证码该存放在哪里？

随着双因素认证（2FA）在全球范围内日益普及，一个关键问题浮出水面：认证码究竟应该存放在密码管理器中，还是应该使用专门的身份验证器应用？安全专家指出，两种方式各有优劣，而混合使用可能是大多数用户的最佳选择。

双因素认证的基本原理是：即便他人窃取了你的密码，仍需第二重身份验证才能登录账户。目前常见的验证方式包括短信验证码、邮件验证码以及身份验证器应用生成的一次性代码等。而密码管理器则将密码和验证码统一存放在同一个加密保险库中，以一定的安全性换取便利性。

密码管理器内置2FA的优势与风险

大多数现代密码管理器（如1Password和Bitwarden）都支持生成并自动填充六位基于时间的一次性密码（TOTP）。其优势显而易见：用户无需盯着手机手动输入即将过期的验证码，且验证码可在桌面端、浏览器和移动应用之间同步，多设备用户不会因手机不在身边而无法登录。此外，由于2FA种子数据与密码一同备份在加密保险库中，即使手机丢失或损坏，用户也不会被锁在账户之外。对于需要与家人或团队共享账户信息的用户来说，通过密码管理器授权也更为便捷。

然而，将2FA并入密码管理器也存在明显弊端。真正的双因素认证依赖于密码与一次性代码之间的隔离。当两者存放在同一保险库中时，一旦主密码泄露，所有信息将同时暴露。同样，键盘记录器或恶意浏览器扩展等恶意软件也可能在一次攻击中同时截获密码和2FA代码。使用独立手机运行身份验证器应用可以在密码保险库与登录代码之间建立物理屏障，而将两者存放在一起则消除了这一屏障。

专用身份验证器应用的优劣

Google Authenticator等独立应用采用更为隔离的方式，可离线运行。由于第二因素与密码物理分隔在不同设备上，数据被盗的风险更低。但这种隔离也有代价：用户仍需手动复制六位代码；大多数身份验证器应用仅限移动端，手机不在身边时便无法使用（除非该应用同时提供桌面版或浏览器扩展）。此外，手机丢失或损坏可能导致账户暂时无法访问，用户需要先设置替代设备并恢复云备份才能重新获取验证码。

混合模式兼顾便利与安全

专家建议，最理想的方案是混合使用两种方式。大多数基于时间的一次性密码可以安全地存放在密码管理器中，但少数关键账户——如主邮箱和密码管理器本身——的验证码最好保存在独立的硬件密钥或身份验证器应用中。这样，即便密码保险库遭到入侵，最关键的账户仍然安全。

具体而言：低风险的日常服务（如购物网站和订阅服务）可使用密码管理器内置的2FA功能；而邮箱、网上银行以及密码管理器本身则应使用专用身份验证器应用或硬件密钥。如此既将操作摩擦降至最低，又能确保在密码管理器被攻破时，最核心的账户依然受到保护。

归根结底，两种工具各有缺陷，最佳选择取决于用户保护的对象以及可接受的多设备操作频率。对大多数人而言，混合方案似乎是当前最优的前进路径。

中文翻译：

使用密码管理器还是身份验证器应用：各自的优缺点

便利性与最大隔离性：以下是如何选择你的验证码存放位置。

在保护在线账户安全方面，双重身份验证（2FA）多年来一直是全球安全专家的标准建议。随着越来越多的人采用2FA，一个问题不断被提起：你应该把验证码存放在密码管理器里，还是放在专门的身份验证器应用中？

登录需要依赖两个独立因素，这是一项基本安全原则。密码管理器提供了一种方案，身份验证器应用则提供了另一种。两者各有实实在在的取舍，而这些取舍并非一眼就能看穿。虽然它们都是为了保护你，但工作方式完全不同。

双重身份验证建立在这样一个简单理念之上：即使有人偷走了你的密码，如果没有第二重身份证明，他们仍然无法进入你的账户。有些应用会给你发送一条包含一次性验证码的短信，有些会在手机屏幕上弹出一个数字，还有一些会通过电子邮件发送验证码，另一些则会询问你是否愿意使用身份验证器应用生成的特殊代码。

而密码管理器则将两个因素集中到同一个保险库中，以牺牲部分隔离性来换取便利。两种方式都没有错，各自反映了不同的优先考量，比如你愿意接受多少操作上的麻烦、你如何管理设备，以及你最担心失去对什么的访问权限。了解这些工具如何运作、有何不同，以及你自己的需求是什么，就是找到适合你的正确工具的秘诀。

在密码管理器中存储2FA的优缺点

大多数现代密码管理器都附带多种工具，包括身份验证工具。大多数热门产品，如1Password和Bitwarden，可以在用户名和密码旁边直接生成并自动填充六位数的基于时间的一次性密码。把所有鸡蛋放在一个篮子里确实有实实在在的好处。

自动填充所有这些信息非常轻松，不用眯着眼睛看手机、赶在验证码过期前输入。另一个优势是面向多设备用户，因为密码管理器可以在桌面端、浏览器和移动应用之间同步2FA验证码，所以你永远不会因为设备不在手边而被困住。

使用密码管理器的另一个好处是，即使你丢失或摔坏了手机，你也不会被锁在自己的设备之外。因为你所有的2FA种子密钥都和密码一起备份在加密保险库中，它们同样安全。如果你需要与家人或团队共享账户数据，通过密码管理器授权会更方便，因为他们无法访问你手机上的身份验证工具。

但也不全是好处，将2FA并入密码管理器也有缺点。真正的2FA依赖于将第一因素——密码——与第二因素——一次性验证码——分开。当两者存放在同一个保险库中时，一次主密码泄露就可能同时暴露所有信息。同样，如果你中了键盘记录器或恶意浏览器扩展之类的恶意软件，它们可以在同一次扫描中同时捕获你的密码和2FA验证码。使用一台单独的手机运行身份验证器应用，可以在密码保险库和登录验证码之间建立一道物理屏障，从而提高安全性。将两者存放在一起则消除了这道屏障。

使用专门身份验证器应用的优缺点

像Google Authenticator这样的独立应用采取了一种更隔离的方式，因为它们可以离线工作。存在物理隔离，所以你的第二因素实际上存放在与密码不同的设备上，数据被窃取的可能性也更低。

但另一方面，这种隔离是有代价的，因为你仍然需要手动复制六位数验证码。此外，大多数身份验证器应用仅限移动端，所以如果你的手机不在身边，你就没办法了。除非你用的是那些同时提供桌面应用或浏览器扩展的型号，比如2FA或1Password。此外，如果你丢失或摔坏了手机，还存在账户被临时锁定的风险，你需要设置替换设备并恢复云备份后才能再次获取验证码。

混合模式兼具两全其美

让生活更轻松同时又保证一切安全的最佳方法之一，就是混合搭配。大多数基于时间的一次性密码可以安全地存放在密码管理器中，但少数几个——比如你主要电子邮件账户和密码管理器本身的验证码——最好保存在单独的硬件密钥或身份验证器应用中。这样，如果你的保险库一旦被攻破，你最关键的账户仍然无法被触及。

具体做法是：对于低风险的日常服务，比如购物网站和订阅服务，使用密码管理器内置的2FA。对于你的电子邮件、银行以及密码管理器本身，使用专门的身份验证器应用或硬件密钥。这样一来，操作上的麻烦最小，而且即使你的密码管理器被攻破，你最重要的账户也是安全的。

归根结底，两种工具单独使用都并非完美无缺，最佳选择取决于你在保护什么，以及你能容忍多少设备之间的来回切换。对大多数人来说，混合方式似乎是最佳前进路径。

英文来源：

The pros and cons of using a password manager over an authenticator app
Convenience vs. maximum isolation: Here's how to choose where your verification codes live.
When it comes to keeping your online accounts safe and sound, two-factor authentication (2FA) has been a standard recommendation from security experts worldwide for years. As more and more people adopt 2FA, one question keeps coming up: Should you store your authentication codes inside your password manager or keep them in a dedicated authenticator app?
The idea that your login should rely on two separate factors is a fundamental security principle. Password managers offer one approach, while authenticator apps offer another. Each comes with real trade-offs that aren't always obvious at first glance. While they're both designed to protect you, they work in completely different ways.
Two-factor authentication is built on the simple idea that if someone steals your password, they still won't be able to get into your account without a second piece of proof of your identity. Some apps will send you a text message with a one-time-use code, some will make a number pop on your phone screen, a few will email you a code, while others will ask if you'd rather use a special code generated by an authenticator app.
A password manager, on the other hand, brings both factors into the same vault, trading some of that separation for convenience. Neither approach is wrong, and each reflects a different set of priorities, like how much friction you're willing to accept, how you manage devices and what you're most worried about losing access to. Understanding how these tools work, how they differ and what you need is the recipe for finding the right tool that fits your needs.
The pros and cons of storing 2FA in your password manager
Most modern password managers come with multiple tools, including authentication tools. Most popular options, such as 1Password and Bitwarden, can generate and autofill six-digit, time-based one-time password codes right alongside usernames and passwords. There are real advantages to putting all your eggs in one basket.
It's such an effortless way to autofill all this info without squinting at your phone and typing in a code before it expires. Another advantage comes for users who handle multiple devices, as password managers sync 2FA codes across desktop, browser and mobile apps, so you're never stuck without access.
Another advantage to using a password manager is that you're never locked out of your devices if you lose or break your phone. Since all your 2FA seeds are backed up inside your encrypted vault alongside your passwords, they're all equally safe. If you need to share your account data with family or your team, it's easier to give access to your password manager since they won't have access to the authenticator tool on your phone.
It's not all milk and sugar, because folding 2FA into your password manager comes with downsides too. True 2FA relies on separating the first factor — the password — from the second one — the one-time code. When both live in the same vault, a single master password breach can expose everything at once. Similarly, if you catch a case of malware in the shape of a keylogger or a malicious browser extension, these can all capture your password and 2FA code in the same sweep. Using a separate phone for your authenticator app creates a physical barrier between your password vault and your login codes, which improves safety. Storing both together removes that barrier.
The pros and cons of using a dedicated authenticator app
Standalone apps like Google Authenticator take a more isolated approach because they work offline. There's physical separation, so your second factor actually lives on a different device than your passwords, and there's a lower chance of having your data stolen.
On the other hand, that isolation comes at a cost, because you'll still be copying six-digit codes by hand. Also, most authentication apps are mobile-only, so you're out of luck if your phone isn't nearby. Unless, that is, you have one of the models that also offer desktop apps or browser extensions, like 2FA or 1Password. There's also the risk of temporary lockout of your accounts if you lose or break your phone, requiring you to set up a replacement device and restore your cloud backups before accessing your codes again.
The hybrid model brings the best of both worlds
One of the best ways to make your life easier while still keeping everything safe is to mix and match. Most timed one-time password codes can lie safely in a password manager, but a small handful, such as the codes for your main email account and the password manager itself, are better kept on a separate hardware key or an authenticator app. This way, if your vault is ever compromised, your most critical accounts remain out of reach.
The breakdown is to use your password manager's built-in 2FA for low-risk everyday services, like shopping sites and subscriptions. Use a dedicated authenticator app or hardware key for your email, banking and the password manager itself. In this way, the friction is minimal, and your most essential accounts are safe if your password manager is ever compromised.
Ultimately, neither tool is flawless on its own, and the best choice depends on what you're protecting and how much back-and-forth between devices you tolerate. For most people, a hybrid approach seems to be the best path forward.