SimSmsBox 一句话回答： OTP（One-Time Password，一次性密码）是一种”用一次就失效”的动态验证码，最常见的形式就是注册登录时收到的 6 位短信验证码。它的核心价值是：即使别人知道你的账号密码，没有这条实时验证码也进不去，因此被广泛用于双重验证（2FA）。
你几乎每天都在用 OTP：登录时收到的”验证码 123456，5 分钟内有效”，就是一次典型的 OTP。它看着简单，背后却是现代账号安全的重要一环。这篇文章讲清 OTP 是什么、怎么工作、有哪些类型，以及收不到 OTP 时怎么办。
一、OTP 是什么
OTP 全称 One-Time Password，即一次性密码。和你长期不变的账号密码不同，OTP 有两个关键特征：
- 一次性：用过一次立即作废，不能重复使用；
- 时效性：通常只在几十秒到几分钟内有效，过期即失效。
正因为”用完就扔”，即使 OTP 在传输中被看到，攻击者也很难在窗口期内利用它，这就是它安全的根本原因。
二、OTP 是怎么工作的
以最常见的短信 OTP 为例：
- 你在网站点击”发送验证码”。
- 服务器生成一个随机码，并记录它和有效期。
- 服务器把这个码通过短信网关发到你的手机号。
- 你把收到的码填回网站。
- 服务器比对：码正确且未过期 → 通过；否则拒绝。
整个过程验证的是”你当前确实掌控着这个手机号”，因此手机号能否稳定收到码就非常关键。
三、OTP 的常见类型
| 类型 | 载体 | 特点 |
|---|---|---|
| 短信 OTP | 手机短信 | 最普及，依赖号码能收码 |
| 语音 OTP | 电话播报 | 短信收不到时的备选 |
| 邮箱 OTP | 电子邮件 | 常用于找回、次要验证 |
| TOTP | 验证器 App | 基于时间本地生成，不依赖网络 |
| 推送 OTP | App 推送确认 | 一键批准，体验好 |
其中 TOTP（基于时间的一次性密码）由 Google Authenticator、Authy 这类 App 本地生成，抗劫持能力比短信更强。想对比短信和验证器谁更安全，可看短信验证码和验证器 App 哪个更安全。
四、OTP 和 2FA 的关系
OTP 是实现**双重验证（2FA）**最常用的”第二把钥匙”：第一把是你知道的密码，第二把是你此刻才拿到的一次性码。两者叠加，账号安全度大幅提升。这也是为什么各大平台注册时都要你手机接码——它既是验证手机号，也是为后续 2FA 打基础。
五、收不到 OTP 怎么办
短信 OTP 收不到是最常见的问题，常见原因与解法：
- 号码类型：虚拟号常被拒，换真实 SIM 号。
- 国家/区号错：确认号码归属国与目标服务匹配。
- 等待时间不够：短信有延迟，等足倒计时再重试。
- 被风控限流：短时间频繁请求会被限，稍后再试。
完整排查清单见接码收不到验证码怎么办。如果你没有合适的海外号，可用海外接码平台临时接收 OTP。
常见问题
Q：OTP 和验证码是一回事吗？ 日常语境里基本可以画等号。严格说 OTP 强调”一次性、动态生成”，而”验证码”也包括图形验证码等，但注册登录时说的验证码通常就是 OTP。
Q：OTP 有效期一般多久？ 多数在 1–10 分钟之间，短信 OTP 常见 5 分钟。过期需重新获取。
Q：OTP 会被盗用吗？ 理论上可能（如钓鱼、SIM 劫持），但一次性 + 时效性大大降低了风险。永远不要把 OTP 告诉任何人或客服。
小结
OTP 是”用一次就失效”的动态密码，是现代账号安全和 2FA 的基石。理解它，你就明白为什么注册处处要手机接码，也知道收不到码时该从号码、国家、时效、风控几个方向去排查。记住最重要的一条：任何人向你索要 OTP，都是诈骗。