上周帮同事处理远程登录问题，他卡在“请输入令牌密钥”这一步整整半小时——页面只留一个空白框，没提示、没扫码入口，也没自动同步。最后才发现，是系统启用了手动输入密钥模式，而他手里的硬件令牌背面贴纸被刮花了，数字看不清，又不会从App里导出密钥。
什么情况下要手动输密钥？
不是所有双因素认证（2FA）都走扫码或自动同步。比如公司内网OA、某些银行后台、或老旧的VPN网关，会要求你把令牌密钥（通常是一串16或32位大写字母+数字组合）手动填进管理界面。这个密钥本质是TOTP算法的种子（Secret Key），一旦输错一位，生成的6位动态码就全对不上。
密钥从哪找？别瞎翻说明书
硬件令牌（如YubiKey、飞天ePass）：翻过设备背面，找印着“Key”“Secret”或“Base32”的那行字符，通常是大写英文字母和数字混排，无空格，例如：
JBSWY3DPEHPK3PXP软件令牌（如Microsoft Authenticator、Google Authenticator）：安卓用户可长按账户名→点“导出”→输入PIN后显示密钥；iOS需提前在设置里开启“导出密钥”权限（路径：Authenticator → 右上角头像 → 密钥导出），否则不显示；
如果是管理员发来的初始化邮件，密钥常藏在类似这样的字段里：
Secret: GQ3TQ67VZC2F4R8X输密钥时最容易踩的坑
• 把字母O当成数字0，把字母I当成数字1（尤其在小字体显示下）；
• 复制粘贴时带了不可见空格或换行符（建议先粘到记事本里清理一遍再复制）；
• 忘记切换输入法为英文半角——中文标点、全角数字都会导致校验失败；
• 有些系统要求密钥必须为Base32格式（仅含A-Z、2-7），但误把密钥当成了十六进制（含0-9、A-F），结果输进去后时间偏移两分钟都不对。
输完密钥，怎么验证对不对？
不用等下次登录。打开你常用的认证App（比如Authenticator），点右上角“+”→选择“手动输入密钥”→粘贴刚输的密钥→选时间基（一般选30秒）→保存。立刻对比App生成的6位码和网页上当前显示的验证码是否一致。差一秒都不行，那就得重查密钥。
前两天财务部王姐就因密钥末尾多输了个“B”，导致连续5次转账审批被拒。后来发现是贴纸上“B”和“8”被油渍糊在一起，肉眼难分——这种时候，直接拍照放大到200%，用手机备忘录逐字比对，比凭感觉敲快得多。