Aegis Authenticator 上手：安卓本地两步验证器的备份与换机

Aegis Authenticator 是 Android 上的免费开源两步验证器，把 TOTP 与 HOTP 密钥存进手机本地的加密保险库，不申请网络权限。它解决的问题很具体：令牌归自己保管，备份也由自己掌握。下面按安装、初始设置、备份换机、风险边界四段分别说明。

Aegis 的安装：三条渠道与更新方式的差别

它只支持 Android，官方 Release 说明写明 v3.4 起要求 Android 6 或更新。下载有三条渠道，差别不只在来源，还在签名与更新方式。

据项目 README，Google Play 与 GitHub Releases 的 APK 使用同一签名密钥，并给出 apksigner 的核验命令与证书指纹。F-Droid 自行编译并签名，所以两个体系的安装包不能互相覆盖，换渠道要先卸载再恢复备份。

许可证是 GPLv3，源码在 GitHub 公开，可以自行编译。官网还标注了 675K+ 安装量，数量来自 Play 商店统计。若不想依赖商店推送，用 Obtainium 这类工具盯 Releases 页也能收到更新，站内那篇Obtainium 使用指南写了完整流程。

首次启动：保险库、密码与生物识别

首次启动会停在 Security 页，三个选项：密码、生物识别、None。None 表示保险库不加密，自动备份也随之不可用，官方文档与第三方评测都不建议这样用。

据官方 vault 文档，保险库用 AES-256-GCM 加密，密码经 scrypt 派生密钥；生物识别则由 Android Keystore 里的密钥解锁，只有通过指纹或人脸验证后才可用。

文档里还有一层设计：每个凭据各占一个 slot，各自包裹同一把主密钥，任一凭据都能解开。反过来说，主密钥的安全性取决于较弱的那把凭据。

密码提醒会隔一段时间要求重新输入密码，FAQ 明确不建议关闭，因为忘记密码等于失去整个保险库。生物识别在部分机型上不可用，FAQ 把原因归到厂商实现，遇到时只能用密码解锁。

添加令牌、分组与图标管理

添加条目有三条路径：扫二维码、扫描二维码图片、手动输入；v3.4.2 起还能从剪贴板读取 otpauth 链接。从 Google Authenticator 迁移时，用它自带的导出二维码，再用 Aegis 扫码即可。

分组支持一条条目归入多个组、同时按多个组筛选、调整组顺序。条目上百之后，分组比在搜索框里逐个找更省事。

图标可以自动生成，也可以手动指定。社区维护了 aegis-icons 等图标包，README 说明官方并不发布图标包，第三方包的质量参差不齐。

这里有一处风险要留意：v3.4.3 修掉了一个问题，恶意图标包在导入时可能覆盖应用内部文件，包括保险库本身。图标包只从可信来源取，来路不明的包不要导入。

另外几个开关值得打开：点按显示、禁止截屏、收藏置顶。前者减少误触复制，后两者在公共场合更实用。

备份、导出与换机恢复

导出与自动备份产出的是同一种保险库 JSON 文件，区别只是一个手动触发，一个在改动后自动写入，FAQ 对此有明确说明。

据官方 vault 文档，结构是顶层 version、header、db 三段。未加密时 db 是明文 JSON，加密时 db 是一段 Base64 密文，也就是说，导出时取消勾选加密，等于把所有密钥摊在文件里。

自动备份要先设密码，入口在设置的 Backups。Aegis 把「单个备份」标为不可靠，建议选保留多个版本；同一份文件被覆盖后，错误也会跟着被固化。

因为它没有网络权限，文件不会自己上云。一种做法是备份到本机目录，再用 Syncthing 之类同步出去；另一种是把 Nextcloud 客户端作为存储位置，走 Android 的存储访问框架，FAQ 举的就是这两个例子。同步目标怎么选，与站内Joplin 安卓版的同步选型是同一类问题。

换机步骤很短：新机欢迎页选导入 Aegis 保险库，选中文件、输入密码即可。生物识别要在新机重新开启，因为旧密钥留在旧机的 Keystore 里，导入不会带过来。

如果手机上没有任何备份，令牌就随设备一起消失，只能靠各服务预先给的恢复码。这一条没有补救办法，只能提前做。

与云端同步型验证器的差异和风险边界

云端同步型验证器把密钥放在厂商服务器，换机登录账号就能恢复，多设备也能同时用。便利的代价是密钥托管在第三方：账号被封、服务调整、厂商退出，都会变成使用者的问题。

据官方 FAQ，Aegis 不访问互联网，开发者也没有改变这一点的计划。它把同步交给用户：备份文件放哪、多久一次、密码怎么存，全由自己决定。

边界也要说清楚。TOTP 是 RFC 6238 定义的算法，本身不防钓鱼，假登录页照样能骗到六位码，高价值账户应当优先用硬件密钥或Passkey 通行密钥。Aegis 没有 iOS 版本，跨平台需求要另选方案；多设备共用一个保险库也不成立，它不做同步。

还有维护层面的现实：据第三方评测，项目由两名开发者维护，2026 年只发了两个版本，3.4.2 在 2 月，3.4.3 在 9 月 6 日，修复速度取决于人力。代码公开可审计，但这不等于有人替你兜底。

上手建议与备份纪律

建议按下面的顺序做，顺序本身就是纪律的一部分。

• 先设保险库密码，再导入任何令牌；不要反过来做，否则中途放弃会留下无保护的明文。
• 开启自动备份并保留多个版本，导出后立刻把文件移出手机，别只留在下载目录。
• 保险库密码单独记在一处，与备份文件分开存放；两者放在一起，等于没加密。
• 旧验证器先别删，等新机登录成功几个服务、确认备份能恢复之后再清理。
• 每个开启两步验证的服务，都把恢复码另存一份，这是备份之外的兜底。
• 换渠道或换机前先导出一次，切换 F-Droid 与 Play/GitHub 版本需要卸载重装。

Aegis 适合愿意自己管备份的 Android 用户：它把便利让出去，换回密钥的本地控制权。若更需要换机无感、多设备同步，云端方案更省事，但要接受托管带来的另一套风险。

相关地址

以下为项目入口与本文引用的文档页，版本号与安装包以这些页面为准。

• Aegis Authenticator（官网）：https://getaegis.app/
• Aegis Authenticator（GitHub 仓库）：https://github.com/beemdevelopment/Aegis
• Aegis Authenticator（GitHub Releases 与 APK）：https://github.com/beemdevelopment/Aegis/releases
• Aegis Authenticator（F-Droid 页面）：https://f-droid.org/packages/com.beemdevelopment.aegis/
• Aegis Authenticator（Google Play）：https://play.google.com/store/apps/details?id=com.beemdevelopment.aegis
• 保险库格式与加密设计（vault.md）：https://github.com/beemdevelopment/Aegis/blob/master/docs/vault.md
• 常见问题（FAQ.md）：https://github.com/beemdevelopment/Aegis/blob/master/FAQ.md
• 第三方评测（PrivacyGear，2026-11-07 复核）：https://privacygear.nl/en/reviews/aegis-authenticator-review