SimSmsBox 一句话回答： 邮箱验证码走电子邮件、短信验证码走手机号——两者都是一次性口令，区别在投递信道和风险面。短信更快、几乎人人能收，但可能被 SIM 卡交换或钓鱼盯上；邮箱不挑运营商、成本低，但一旦你的邮箱被攻破，验证码就形同虚设。
登录一个新服务时，你可能会被问「验证码发到手机还是邮箱？」。两个选项看起来差不多，背后的送达方式和能挡住什么攻击却很不一样。选对了，账号更稳；选错了，可能把鸡蛋放进了同一个篮子。
一、两者到底差在哪
两者都属于「你拥有某样东西」这一因子——只不过一个是邮箱账号，一个是手机号。
二、送达与可用性
短信通常几秒内到达，而且不需要你去登录另一个账号——打开手机就能看到。邮件偶尔会因为垃圾邮件过滤、投递延迟而慢上几分钟，尤其是首次收到某个发件方时。
但短信也有它的软肋：跨境时受路由质量影响，还可能来得很慢。邮箱则几乎在任何有网的地方都能收，不挑国家、不挑卡。
三、安全性对比
| 风险 | 邮箱验证码 | 短信验证码 |
|---|---|---|
| 传输是否加密 | 通常 TLS 加密 | 基本不加密 |
| SIM 卡交换 | 不受影响 | 有风险 |
| 账号被攻破 | 邮箱一破即失守 | 需控制号码 |
| 钓鱼 | 假登录页 | 短信钓鱼 |
| 拦截 | 需入侵邮箱 | SS7、恶意软件 |
关键差别：短信在传输中基本是明文，理论上可被拦截；邮件在传输段通常有 TLS 加密。但邮箱把所有风险集中到一个点——如果攻击者拿下你的邮箱，往往就能顺藤摸瓜接管其他账号，因为很多找回流程都发到邮箱。
四、常见的致命错误：同一个篮子
用邮箱验证码保护你的邮箱账号本身，几乎没有意义——攻击者只要进了邮箱，验证码也在里面。同理，如果你的手机丢了，短信验证码和手机里的一切一起丢。好的做法是让因子彼此独立：邮箱账号用验证器 App 或通行密钥保护，而不是用发到该邮箱的码。
五、该选哪个
- 要快、要人人可用 → 短信，尤其面向不熟悉技术的用户。
- 担心 SIM 卡交换或跨境送达 → 邮箱是不错的第二选择。
- 保护邮箱本身 → 都别用，改用验证器 App 或硬件密钥。
- 最稳妥 → 两个都设为可选，并额外备好备用码，以防其中一条通道失灵。
六、这对你收码时意味着什么
如果你在为某个服务接收验证码，先看它默认发哪种。短信要求号码此刻可达、送达率好；邮箱则要你能登进那个邮箱。两条通道都要保证是你独占控制的——共享的邮箱或转接的号码，等于把大门钥匙交了出去。
常见问题
Q：邮箱验证码比短信更安全吗？ 传输上邮件通常有加密、也免疫 SIM 卡交换，这几点更好；但它把风险集中在邮箱一个点上。没有绝对赢家，取决于你要防的是什么。
Q：为什么有的网站两个都发？ 给你冗余。一条通道失灵（换了号、邮件进垃圾箱）时，另一条还能用。
Q：魔法链接和邮箱验证码是一回事吗？ 不完全是。魔法链接是点一下就登录，验证码要你手动输入。详见魔法链接 vs 验证码。
小结
邮箱和短信验证码都是一次性口令，差别在通道与风险：短信更快、更普及但可被 SIM 卡交换和拦截盯上，邮箱免疫这些却把风险压在一个账号上。别用发到某账号的码去保护那个账号本身；让你的因子彼此独立，才是真正的第二道防线。