2FAuth 8.0.3 介绍与选型指南

2FAuth 8.0.3 介绍与选型指南：解析这款自托管网页版双因素验证器的定位、核心特性、技术栈与版本节奏，并给出与 Bitwarden/Vaultwarden/Aegis/Ente Auth/AliasVault 的量化选型对比与适用场景判断。

2FAuth自托管双因素认证2FAuth2026/10/24

2FAuth 8.0.3 介绍与选型指南

本文是 2FAuth 专栏的认知篇。文中版本号、特性清单、协议支持与社区数据均于 2026-10-24 从官方渠道实查取得，来源在文末逐条列出；本文不含任何本地实测结论，部署实操与参数细节请看本专栏后续篇章。

2FAuth 是一个开源的自托管 Web 应用，定位是「基于网页的双因素认证（2FA）验证码管理器」，官方 README 对它的一句话概括是：A web app to manage your Two-Factor Authentication (2FA) accounts and generate their security codes——管理你的 2FA 账户并生成对应的安全码。它可以看作 Google Authenticator、Authy 这类手机验证器应用的自托管替代品，同时专为桌面浏览器与移动端双场景设计：你在电脑前登录网站时，不必再掏出手机查验证码，直接在自托管的网页里点开即可。

一、组件定位：服务端 OTP 中枢

市面上大多数验证器方案把验证码锁在单一设备里：手机丢了，全部 2FA 账户跟着丢失。2FAuth 作者在 README 里给出了三条明确的开发动机，恰好对应三类真实痛点：

  • 反感竞速式 UI：多数验证器把所有账户的倒计时令牌同时铺在屏幕上，制造不必要的紧张感；
  • 要一个可备份的独立数据库：作者自述亲历过「手机丢失后 Google Authenticator 里所有 2FA 账户无法找回」的事故，因此坚持把 2FA 数据放进一个可备份、可恢复的独立数据库；
  • 桌面场景优先：在电脑上操作时讨厌为取一个 OTP 而掏手机。

由此形成它的产品画像：一个部署在你自己服务器上的验证码中枢，浏览器即开即用，数据落库、随备份走。它只管 2FA 验证码这一件事，不做密码管理、不做邮件别名——这个「窄定位」是它与 Bitwarden/Vaultwarden/AliasVault 等密码管理类组件最本质的差异，也是后文选型对比的主轴。

二、核心特性清单（官方 README 实查）

账户管理与人机交互

  • 以分组（Group）组织 2FA 账户，支持批量管理；
  • 扫描并解码任意二维码，快速添加账户；
  • 提供高级表单，无需二维码也能手工录入账户；
  • 已导入的账户同样可编辑；
  • 生成 TOTP、HOTP 与 Steam Guard 三类安全码，OTP 算法遵循 RFC 4226（HOTP）与 RFC 6238（TOTP），底层由 PHP 库 Spomky-Labs/OTPHP 提供；
  • 界面目前完整本地化为英语与法语（其余语言通过 Crowdin 社区协作）。

安全机制

  • 多用户体系：自 v4.0 起支持多用户账户，可开放注册、按邮箱域名限制注册、完全关闭注册，或限定仅 SSO 登录；
  • 现代认证：支持用 YubiKey、Titan Key 等硬件安全密钥（WebAuthn）登录，并可关闭传统登录表单；
  • 落库加密：数据库中的敏感数据可选加密存储，防数据库泄露拖库；该选项默认关闭，官方强烈建议开启时备份 .env 中的 APP_KEY；
  • 自动登出：闲置一段时间后自动登出，防止长效会话；可配置为「复制验证码后立即登出」；
  • RFC 合规：如上所述，OTP 生成遵循 RFC 4226 / RFC 6238。

迁移能力

支持从以下格式导入：2FAuth（JSON）、Google Authenticator（二维码）、Aegis Auth（JSON、纯文本）、2FAS Auth（JSON）。这意味着从主流 Android 验证器迁移到 2FAuth 的路径是官方内置的。

部署形态

官方提供四条安装途径：自托管服务器（传统 PHP 部署）、Docker CLI、Docker Compose 与 Heroku；数据层支持 Laravel 框架所支持的数据库（SQLite/MySQL/PostgreSQL/SQL Server）。运行环境要求 PHP 8.4（README 徽章标注 php ^8.4）。另有官方在线 Demo（demo.2fauth.app，账号 demo@2fauth.app / 密码 demo）可供零成本试用。

三、版本实查：8.0.3

截至 2026-10-24，通过 shields.io 的 GitHub tag 徽章与官方发布渠道交叉核对：

  • 当前稳定版：v8.0.3（tag 徽章读数 v8.0.3，与官方 Docker 镜像 2fauth/2fauth 的版本标签一致）；
  • 官方文档站（docs.2fauth.app）顶部标注的文档版本为 v8.0，与 8.0.3 同属 8.0 系列主干；
  • 官方 Docker 镜像提供 latest（master 分支，视作稳定但可能包含未正式发布的修复）、不可变版本标签 x.y.z、部分版本标签 x.y/x 以及 dev（dev 分支，可能不稳定）四类 tag，策略详见官方文档。

2FAuth 的版本节奏是「大版本慢走、补丁跟进」的成熟项目形态：从 3.x 到 4.0 引入多用户，从 4.x 到 8.0 持续迭代 WebAuthn、SSO、Docker secrets（v6.0 起敏感变量支持 _FILE 注入）等能力。对自托管者而言，生产环境锁定不可变版本标签（如 8.0.3）是稳妥选择。

四、技术栈与许可证

  • 技术栈：PHP 8.4 + Laravel 框架，前端为响应式 Web 界面；官方镜像内以 supervisord 同时托管 Nginx 与 PHP-FPM，日志落在应用 storage/logs 目录；
  • 数据层：SQLite（零依赖默认项）或 MySQL/PostgreSQL/SQL Server；
  • 许可证：GNU AGPL-3.0，可自由自托管与修改，修改后的服务端需按 AGPL 义务开放源码；
  • 架构形态：单体应用，无微服务依赖，数据库之外的唯一有状态数据就是数据库文件与 .env 配置，备份模型简单。

五、同类选型对比（量化）

2FA 市场里「自托管」与「验证码管理」是两个独立维度，不少选型文章把它们混为一谈。下表把常见候选放回各自真实定位（数据均为 2026-10-24 从各项目官方 README 与 shields.io 徽章实查；Ente 为含照片/验证器/保险库多产品的 monorepo，星数不单独代表 Auth 子产品，故不列）：

维度2FAuth 8.0.3VaultwardenBitwarden ServerAegisEnte AuthAliasVault 0.31.1
核心定位自托管网页版验证码中枢Bitwarden 协议的 Rust 轻量服务端官方密码管理服务端Android 本地验证器 App端到端加密验证器（App+云同步）密码管理器+邮件别名服务器
承载内容仅 2FA 验证码密码+验证码+附件+Send密码+验证码+全套企业功能仅 2FA 验证码（本地）仅 2FA 验证码密码+别名+内置 TOTP
OTP 算法TOTP / HOTP / Steam Guard（RFC 4226/6238）TOTP（保险库内置）TOTPHOTP / TOTP本次未取证TOTP（保险库内置）
服务器归属自托管自托管自托管无服务器（单机 App）官方云或自托管自托管
多用户支持（可开放/限域/关闭注册、仅 SSO）支持（含组织/策略/共享）支持（全套组织功能）不适用（单机）账号制多用户
登录加固WebAuthn 安全密钥、OIDC/GitHub SSO、反向代理认证头主密码+两步登录（Authenticator/Email/FIDO2 WebAuthn/YubiKey/Duo）同左（官方完整版）本地密码/生物识别解锁账号密码+端到端加密主密码+零知识架构
落库加密可选（APP_KEY 驱动，默认关闭）可选端到端加密保险库AES-256-GCM 本地加密库端到端加密端到端加密
数据库SQLite/MySQL/PostgreSQL/SQL ServerSQLite/MySQL/PostgreSQLMSSQL（官方多容器架构）本地文件服务端自有存储PostgreSQL 等
原生移动端无（响应式 Web）官方 Bitwarden App官方全平台 AppAndroid（Play/F-Droid）iOS/Android/F-Droid/桌面/WebiOS/Android App
迁移导入2FAuth JSON、Google Auth 二维码、Aegis JSON/纯文本、2FAS JSONBitwarden 生态导入器Bitwarden 生态导入器支持 2FAS/Authy/FreeOTP/Google Authenticator 等十余种本次未取证本次未取证
许可证AGPL-3.0AGPL-3.0AGPL-3.0GPL-3.0本次未取证AGPL-3.0
GitHub Stars4.2k70k20k13k—（monorepo）见其专栏

说明：AliasVault 的完整量化画像与本批次另一篇认知文对照阅读更完整，见《AliasVault 0.31.1 介绍与选型指南》；「本次未取证」表示该字段不在本次实查范围内，为避免转述失真如实标注。

选型判断

  • 只要验证码、且要服务端统一管理：2FAuth 是清单里唯一「窄而专」的选择——不背密码库的复杂度，桌面浏览器直接用，数据可备份可迁移，PHP 单体架构对小型服务器友好；
  • 密码+2FA 一体、要全平台原生客户端：选 Vaultwarden（轻量）或 Bitwarden Server（官方完整版）；此时 2FA 只是保险库的一个字段类型，不是独立中枢；
  • Android 单机离线、拒绝任何服务器：Aegis 是最成熟的答案，本地 AES-256-GCM 加密库+自动备份；它也是 2FAuth 的官方导入来源之一，两者是「手机端+服务端」的天然组合而非竞争关系；
  • 移动优先、跨设备端到端云同步：Ente Auth（Authy 的开源替代）；接受官方云或自建其服务端；
  • 既要密码管理又要匿名身份（邮件别名）：AliasVault；
  • 组合策略：常见实操是「手机端 Aegis/Ente Auth 管日常扫码 + 服务器端 2FAuth 管桌面取码与灾备」，通过 Aegis JSON/2FAS JSON 导出实现两侧互通。

六、适用与不适用场景

适合 2FAuth

  • 团队/家庭自托管场景：多用户+分组管理+注册管控，一个实例服务多人；
  • 桌面重度用户：每天在电脑前登录大量后台、控制台，取码路径要短；
  • 有备份强迫症的人：验证码进数据库、随备份计划走，换手机不丢码；
  • 已有 Aegis/2FAS/Google Authenticator 存量数据：官方内置导入器，迁移零脚本。

不适合 2FAuth

  • 期望「一个组件管密码+验证码」的人——它刻意不做密码库，请转投 Vaultwarden/AliasVault；
  • 无法接受「验证码在服务器上」这一威胁模型的极端安全场景——自托管服务端意味着服务器被攻破时验证码面临风险（可用落库加密缓解，密钥仍在 .env）；
  • 强依赖原生 App 离线体验的纯移动用户——2FAuth 没有原生 App，弱网/离线场景不如 Aegis/Ente Auth。

七、信息来源与查询日期

以下均为 2026-10-24 实查：

  1. GitHub Bubka/2FAuth 仓库 README（定位、特性、安全机制、导入格式、PHP 8.4、AGPL-3.0、Demo 信息）；
  2. shields.io GitHub tag 徽章（Bubka/2FAuth → v8.0.3）与 Stars 徽章（4.2k）；
  3. 官方文档站 docs.2fauth.app（文档版本 v8.0；Docker 镜像 tag 策略、安装途径、supervisord/Nginx+PHP-FPM 架构说明）；
  4. 官方在线 Demo：demo.2fauth.app；
  5. 对比项目官方 README：dani-garcia/vaultwarden（AGPL-3.0、功能清单、官方服务资源占用表述）、beemdevelopment/Aegis（Android 定位、AES-256-GCM、导入清单、GPL-3.0）、ente-io/ente（Ente Auth 定位与端到端加密表述）、bitwarden/server；
  6. shields.io 各对比仓库 Stars 徽章（Vaultwarden 70k、bitwarden/server 20k、Aegis 13k）。

下一篇实操入口：《2FAuth 8.0.3 Docker Compose 部署指南》，部署完成后可继续阅读《2FAuth 8.0.3 配置参数详解》与《2FAuth 8.0.3 安全加固指南》。