场景：把微软 Authenticator 里的两步验证码（Oracle Cloud + 微软账户）迁移到开源验证器 Aegis，并建立「恢复出厂也不丢号」的备份链。本流程在国行 HyperOS 手机实测全程跑通。
结论
- 选 Aegis：开源免费、本地加密保险库、支持自动导出。国行手机没有谷歌服务，2FAS 的自动云备份（走 Google Drive）用不了，Aegis 的本地导出路线更顺。
- 迁移总原则：先加后删——TOTP 密钥无法从旧验证器导出，必须让网站发新二维码给 Aegis 扫；网站普遍要求「至少保留一台验证设备」，所以先绑新再删旧。
- 备份链：Aegis 自动加密导出 → 手机文件夹 → 小米云盘自动上传。恢复出厂 = 装 Aegis → 云盘拉最新备份 → 导入输密码 → 满血复活。
一、为什么换掉微软 Authenticator
- 没有导出功能：第三方网站的 TOTP 密钥拿不出来，换 App 只能逐个网站重新绑定
- 恢复出厂 = 全部丢失：手机恢复出厂后 OCI MFA 丢失，靠客服工单才捞回（周期长且不确定）
- Authenticator 唯一不可替代的是推送通知，但 TOTP 验证码才是安全核心，推送只是便利功能
二、选型对比（2026-10 核实）
| App | 备份方式 | 需要账号 | 适配国行机 |
|---|---|---|---|
| Aegis | 本地加密导出，可自动定期导出到文件夹 | 不用 | ★ 完全适配 |
| 2FAS | 自动备份走 Google Drive（需谷歌服务） | 不用 | ❌ 无 GMS 则备份失效 |
| Ente Auth | 端到端加密云同步，全平台 | 要注册 | 可用但多一个账号要保护 |
| Authy | 不推荐 | — | 无导出、厂商锁死、出过泄露事件 |
两个都装互为备份也行（同一密钥可在多个验证器共存），单装 Aegis + 备份链已足够。
三、Aegis 初始配置（装完先做这些）
安装：GitHub 官方仓库 github.com/beemdevelopment/Aegis → Releases → apk（⚠️ 只从官方仓库/官网/F-Droid 下载，验证器 App 供应链污染是致命的）。
- 设保险库密码（打开 App 用的）——⚠️ 忘了这个备份文件就是废纸，必须记录
- 开指纹解锁（方便日常）
- 配置自动备份：设置 → 备份 → 开启自动备份 → 设备份密码 + 选一个手机文件夹（建议专用目录如
Documents/AegisBackup） - 手动验证一次：「导入和导出」→ 导出 → 加密导出 → 确认文件夹里真的生成了加密
.json文件 - 手机时间设为自动同步（TOTP 靠时间算码）
四、备份上云（小米云盘）
小米云盘 App 的设置页没有「文件夹备份」入口，入口在系统文件管理器：
- 文件管理器 → 长按 Aegis 备份文件夹 → ⋮ 更多 → 自动备份 → 开启
- 如果你的版本文件管理器也没有：手动方案——每次迁移完账号后「导入和导出」手动导出 → 小米云盘 App 手动上传（验证项不常变，一年导不了几次）
要点：
- 备份文件是 AES-256 加密的，密码不在文件里，放哪家云盘都无隐私顾虑
- Aegis 每次添加/修改验证项都会生成一个带时间戳的新文件，旧的会累积（单文件才几 KB），隔几个月清理一次，恢复时选时间戳最新的
- 小米云服务整机云备份（设置 → 小米账号 → 云服务）作为第二兜底，但应用数据是否覆盖 Aegis 未逐项验证，加密备份文件仍是主保险
五、迁移实操
Oracle Cloud（先迁，流程更简单）
⚠️ 迁移过程要用旧验证码登录，趁旧验证器还能用赶紧做。
- OCI 控制台 → 右上角头像 → 点邮箱/用户名进用户详情页（不是弹层式 User settings）
- Security（安全性） 页签 → 添加移动应用程序
- ⚠️ 关键一步：打开**「脱机模式或使用其他验证程序」**开关——不开的话 OCI 只走 OMA 推送绑定，永远不出 TOTP 二维码（多数人卡在这）
- 出现标准 TOTP 二维码 → Aegis ➕ 扫码 → 填 6 位码 → 绑定成功，设备列表多出一条「移动应用程序」
- 现在才删旧的 OMA 设备（此前删会报「You cannot delete the device. At least one device is required」——先加后删就绕开）
- 生成绕过码：同一 Security 页下方，最多 5 个一次性码，码值只在生成那一刻显示，当场复制妥善保存；没存就删掉重新生成
- 退出登录实测：密码 → 输 Aegis 码 → 进门
微软账户
account.microsoft.com→ 安全性 → 「添加另一种登录账户的方式」- 选 「使用应用」
- 页面显示「设置 Microsoft Authenticator 应用」时，点下方蓝色链接 「设置其他 Authenticator 应用」 → 出标准 TOTP 二维码
- Aegis 扫码 → 填 6 位码 → 完成，验证方式列表多一条「输入验证器应用中的验证码」
- 开启双重验证总开关（安全性首页显示「关」的那个）——不开的话登录不强制二次验证，2FA 等于没上岗；流程中若给恢复代码，妥善保存
- 旧的「发送登录通知」（Authenticator 推送）先保留当退路，稳定一两周后再删
六、恢复出厂后的还原流程
- GitHub 装回 Aegis
- 小米云盘拉回时间戳最新的备份文件
- 「导入和导出」→ 导入 → Aegis 加密备份 → 输备份密码（解文件用备份密码，开保险库用保险库密码，若设成同一个则无区分）
- 重新配置自动备份——Android 对文件夹的授权重装后失效，需重新选一次文件夹，不是出故障
- 拿 OCI 或微软账号实测登录一次，码能进门才算恢复成功
七、坑清单（实测汇总）
| 坑 | 说明 |
|---|---|
| 先删后加被拦 | OCI 报「至少一台设备」，顺序必须先绑新再删旧 |
| OCI 不出 TOTP 二维码 | 「脱机模式或使用其他验证程序」开关没打开，默认只走 OMA 推送 |
| 绕过码只在生成时显示一次 | 列表页看不到码值，没复制就得删了重生成 |
| 微软「使用应用」≠ 只能 Authenticator | 点「设置其他 Authenticator 应用」链接即出标准二维码 |
| 备份密码 ≠ 保险库密码 | 两个都可以记成同一个，但必须分开记清楚各自用途 |
| 重装后自动备份失效 | Android SAF 文件夹授权不随重装保留，重新选一次即可 |
| 备份文件累积 | 文件名带时间戳，恢复选最新，定期清旧 |
八、最终形态与日常动作
| 账号 | 验证方式 |
|---|---|
| Oracle Cloud | Aegis TOTP（OMA 已删）+ 绕过码 ×5 |
| 微软账户 | Aegis TOTP + 登录通知（退路）+ 邮箱/短信代码 + 双重验证开 |
| 备份 | Aegis 自动加密导出 → 小米云盘；整机云备份兜底 |
日常只有两个动作：新绑网站用 Aegis 扫码（顺手瞄一眼云盘备份文件有没有更新）；保险库密码、备份密码、OCI 绕过码、微软恢复代码统一记到安全的笔记/密码管理处。
实测环境：Redmi K60（HyperOS 国行）+ Aegis（GitHub Releases 版），迁移样本为 Oracle Cloud 与微软个人账户（2026-10-09）。