GitHub个人访问令牌PAT与身份验证器6位令牌的用途疑问

你手机Authenticator应用生成的标注关联GitHub的6位动态令牌，属于基于时间的一次性密码（TOTP），是你开通GitHub双因素认证（2FA）功能后生成的二次校验凭证，和用于Git操作身份校验的PAT属于完全独立的两套验证体系。

核心作用 #

作为账号安全的第二道校验门槛，避免账号密码泄露后直接被他人登录盗用，进一步提升账号安全性。

适用场景 #

• 网页端登录GitHub账号：输入账号密码后，必须补充输入该6位动态码才能完成登录
• 网页端高危操作二次确认：在GitHub平台执行修改账号安全设置、删除仓库、调整PAT权限、添加SSH公钥等敏感操作时，需要输入该动态码完成身份二次校验
• 第三方客户端首次授权：部分不支持PAT验证的第三方GitHub管理客户端首次绑定账号时，可能要求输入该动态码完成2FA校验

你日常使用PAT推送代码时不需要输入该动态码的原因是：PAT本身是你完成2FA校验后主动创建的长期身份凭证，创建阶段已经验证过你的账号所有权，后续使用PAT进行Git操作、OpenAPI调用时，无需再重复完成2FA校验，因此不会弹出输入该6位令牌的提示。

二者核心差异：PAT是可自定义权限、有效期的长期身份凭证，可单独作为身份验证依据使用；6位TOTP动态码是每30秒自动刷新的一次性凭证，仅用作账号层面的二次校验，无法单独作为身份凭证使用。

内容的提问来源于stack exchange，提问作者more_to_learn