比如推特，我记忆中是这样的哈，也不特指这个网站。
就是这个网站他可以加入很多2fa ，比如 短信，邮箱，google 认证器， yubikey。 这四种都可以。 假设这4种都添加了。
但是真正在登录的时候他 1）可以选择 不使用 scerect key，即“选择其他登录方式” ，这时候可以用 “google认证器 + 密码”登录
2） 有些网站可以自己选择 “密码+短信+邮件”登录
3） 还有一些开启最高安全的网站 ，比如chatgpt ，可以选择帐号名+ “yubikey 登录” 其他什么都不要。
个人感觉这些都是不合理的，1）和2）并不能算安全，因为有yubikey 这种 安全性最高的东西了，你就应该必须强制用户使用，不能让用户选择其他方式，跳过yubikey 。因为其他登录方式可以直接用 被攻破的手机上全部看到。
3） 也不对，直接物理方法偷，捡到了物理钥匙 yukey 直接就进你家门了 （chatGPT 把这个称为最高安全模式）
最起码应该是 密码+yubikey ，短信+yubikey ， 邮件+ yubikey 。 但是很多网站并不是这样的。