如何在 Telegram 中设置两步验证与本地密码锁

Telegram 有两道彼此独立的锁：云端密码保护账号，密码锁保护手机上的应用。本文用四种场景说明各自防住什么，并给出两步验证、恢复邮箱与密码锁的完整设置步骤。

内容导读

Telegram 有两道彼此独立的锁，它们防范的是不同的东西。云端密码可以阻止别人从另一台设备登录你的账号。密码锁则可以阻止别人拿到你手上的手机后翻看应用里的内容。

只设置其中一个就以为万事大吉，是最常见的错误。这段视频展示了两个开关；下面说明各自实际应对的是哪种威胁。

这两项设置都在“隐私与安全”里，一上一下紧挨着——这也是它们常被混淆的原因之一。

两把锁，两扇不同的门

正常登录 Telegram 只需要一样东西：发送到你手机号的验证码。任何能收到这条验证码的人，都能在新设备上变成你。这就是 SIM 卡交换攻击的全部原理，而且它根本不需要碰到你的手机。

云端密码是存在于账号上的第二重验证。设置之后，仅有验证码会被拒绝。它只在新设备登录时被要求输入，所以日常使用中不会出现，很容易忘记自己设过——这正是恢复邮箱重要的原因。

密码锁则与此无关。它挡在某一台设备的应用前面，使用 PIN 码或你的指纹、面容。它对账号本身毫无作用；从笔记本电脑登录的人根本不会看到它。

设置云端密码不会让任何人退出登录 已经存在的会话会保持活跃。如果你设置这个是因为怀疑有自己不认识的会话，还要去“设置—设备”里把它终止——密码只守护新的登录。

互动

四种情境。在每一种里，两把锁中有一把在保护你，另一把毫无作用——这就是两者都要设置的理由。

SIM 卡被交换

手机被拿走

你忘记了密码

云端密码能挡住。对方收到了登录验证码，却仍被要求提供他们没有的东西。

密码锁毫无作用。你的手机还在你口袋里；这次攻击根本没碰到它。

密码锁能挡住。即使手机是打开的，Telegram 仍会要求输入 PIN 码或验证面容。

云端密码毫无作用。那个会话已经存在，而且早已被信任。

无论哪种情况，都要从另一台设备终止那个会话。这才是真正的解决办法。

如果绑定了恢复邮箱，你可以在那里重置它，然后继续使用。

如果没有绑定，唯一的途径是等待一段时间后重置账号——而重置并不会找回你的聊天记录。

这就是不能跳过邮箱这一步的唯一原因，而它恰恰是人们会跳过的一步。

它们不是二选一：云端密码守护账号，密码锁守护手机。

打开“隐私与安全” 进入“设置”，再进入“隐私与安全”。两个控件都在这个界面上。
设置云端密码 进入“两步验证”，再点“设置附加密码”。用一个足够长、且不在别处使用的密码；提示语会展示给任何试图登录的人，所以它对外人来说应该毫无意义。
绑定恢复邮箱 Telegram 会发送一个验证码来确认。现在就做——这决定了忘记密码只是一件麻烦事，还是账号的终结。
添加密码锁 回到同一个界面，进入“密码锁”。设置一个 PIN 码，然后开启 Face ID 或指纹，这样你就不用反复输入它。

Telegram 无法读取你的密码 它以加密哈希的形式存储，而不是明文。这就是为什么没有人——包括客服——能告诉你它是什么，也是为什么恢复邮箱是唯一的找回途径。

如果你既没有恢复邮箱也没有密码，重置账号是可行的，但会被刻意放慢。这个延迟的存在，是为了让接管了你手机号的人无法只用一个下午就把你耗过去——你会得到数天的预警时间，在此期间你可以从任何仍处于登录状态的设备取消重置。

这种保护是有代价的，而如果你正是被锁在外面的人，代价就由你承担。这不过是同一件事的另一种说法：绑定邮箱。