Telegram 里那几样"只能用一次"的东西：用掉之后它就没了

有一类东西，它们的"值钱"方式和别的不一样。

密码，是可以反复用的。

你用一百次，它还是那个密码。

而验证码、邀请链接、登录二维码，不是。

它们"用一次"就完。

也就是说：它们的价值，恰好等于"它还没被用过"。

所以那句可以这样记：这几样东西的价值，恰好等于"它还没被用过"——所以"保管"对它们来说，不是"收好"，而是"别提前用掉"。

而"用完就没了"这件事，其实有两条路，而第二条更阴。

第一条：被用掉。

也就是说：有人用它进去了一次，那它就"作废"了。

第二条：过期。

也就是说：没人用它，但"时间到了"，它自己就作废了。

所以那句可以这样记："被用过"就作废；而"过期"也作废——两条路都通向"没了"。

而第二条之所以更阴，是因为"你什么都没做，它却没了"。

而这，就是很多人"明明没动过，怎么就失效了"的原因。

这几样东西，各自"一次"在哪

接着上面说，因为它们的"一次"，其实不太一样。

第一样：注册或者登录的验证码。

它的"一次"，是"一次有效"。

也就是说：它进去一次，就没用了。

而它同时还"限时"——所以它是"两条路都会走"的那种。

第二样：邀请链接。

这个要看"当初怎么设的"。

也就是说：邀请链接可以设成"永久有效"，也可以设成"限次数""限时间"，或者"需要管理员批准"。

所以那句可以这样记：邀请链接的"一次"，不是天生的，而是"当初设的时候选的"——所以它可能"只用一次就废"，也可能"一直能用"。

第三样：登录二维码或者登录链接。

它也有"有效期"。

也就是说：你生成之后不赶紧扫，它自己就过期了。

（关于"二维码登录取什么、以及它的有效期是怎么回事"，我在讲记住我机制的那篇里写过。）

第四样：恢复码。

而这一样，我要单独说，因为"能不能重复用"这个问题，对它来说要"改个问法"。

恢复码那个问题，要改个问法

现在说你问的这个，而答案是"问题本身要变一下"。

"恢复码能重复用吗？"

而这个问法，假设了"有一个你手上存着的码，能用很多次"。

而实际上，它不是这么设计的。

也就是说：那个码，是"你在忘记密码的那一刻，它临时发到你邮箱里的"。

所以它不是"你提前拿着、反复用"的东西。

而是"每次要用的时候，新来一个"。

所以那句可以这样记：恢复码是"每次找回时新发的"——所以"能不能重复用"这个问题，对它来说要改成"它是不是同一条"。

而这一改，答案就清楚了：

如果它是"新发的"，那"重复用"这件事，本身就不成立——因为你两次拿到的，可能压根不是同一条。

（而这个"它不是你提前存着的东西"这一点，我在讲两步验证恢复码的那篇里写过。那篇还说了"真正要保管的是恢复邮箱"，而不是一串码。）

所以那句可以这样记：对恢复码，"保管"这件事的对象不是"码"，而是"那个能收到码的邮箱"。

同一个码，发给两个人

再说你问的这个，而它的答案比"不能"更微妙。

先说结论：不能。

而"不能"的方式，不是"两个人都用不了"。

而是"谁先用，谁就用掉了"。

也就是说：你把同一个码发给两个人，那结果是"先到的那个人进去了，后面那个人进不去"。

所以那句可以这样记：同一个码发给两个人，不是"两个人都能用"，而是"谁能用掉它"。

而这件事，在"验证码"这一样上，还有更坏的一层：

如果那个码是"你账号的验证码"，而你把它发给了两个人，那"谁先用"，就等于"谁拿到了你的号"。

所以那句可以这样记：验证码发给别人，不是"帮个忙"，而是"把门钥匙递出去"——而"谁先接"这件事，你控制不了。

而这里还有一条，我觉得最该说：

任何人跟你要验证码，都不该给。

不管他说他是谁、不管他说"只是核对一下"。

为什么？

因为"要验证码"这个动作，本身就等于"要进你的号"。

而"进你的号"这件事，没有任何"正常的理由"需要你给他一个码。

（关于"为什么冒充的人一定会要验证码、以及收到验证码该怎么办"，我在讲验证码泄露与止损的那篇里写过。）

怎么保管，三个要点

现在说你问的"一次性凭据怎么保管"，而它有三个要点。

第一个：分开。

也就是说：几样东西别"放一起"。

为什么？

因为"用掉一个"，不该"连累别的"。

也就是说：如果你把"恢复邮箱的密码"和"账号密码"写在同一个地方，那"这个地方被看到"，就等于"两样一起丢"。

所以那句可以这样记：一次性凭据要"分开放"——因为"丢一个"和"丢全部"，是两个不同的损失。

第二个：标日期。

也就是说：在纸上、或者在文档里，写清"这个是什么时候拿到的"。

为什么？

因为"过期"也是一条死路——而"不标日期"，你就不知道"它还有没有效"。

所以那句可以这样记：标日期不是为了"记性好"，而是为了"知道它可能已经死了"。

第三个，也是很多人没想到的：多备一份。

而"多备"的意思，不是"复印一堆同样的码"。

而是"多拿一个'能用的'"。

也就是说：

如果"邀请链接"能用多次，那就不必备。 而如果"它只能一次"，那就"再申请一个"——因为"只有一个"意味着"一次失误就没了"。

所以那句可以这样记："多备一份"的意思，不是"复制多份"，而是"再申请一个"——因为能用的东西，"份数"才有意义。

最容易被"提前用掉"的动作

最后说一个很实际的现象，而它比"丢"更常见。

很多人不是"弄丢了"，而是"自己用掉了"。

而那个动作，通常是"试试能不能用"。

也就是说：你拿到一个码，想"确认一下它是不是好的"，于是"点了一下"。

而那一下，就把它用掉了。

所以那句可以这样记："试试能不能用"这个动作，就是"用掉它"——而很多人是在"不着急的时候"把它试掉的。

而这一类"试"，有三个常见场合：

一是"刚拿到邀请链接，自己先点一下，看看进不进得去"。 二是"刚生成登录二维码，自己先扫一下"。 三是"刚抄下恢复码，想试试对不对"。

而这三个，都会"消耗掉它"。

所以那句可以这样记：一次性凭据，别"试"——因为"试"就是"用"，而它只有一次。

那"怎么确认它是对的"？

答案是"别确认"。

也就是说：如果它"是系统给你的"，那它"默认是对的"——而你要做的，是"别动它"，而不是"验证它"。

所以那句可以这样记："别动它"就是最好的确认——因为你要验的那个动作，恰好会把它消耗掉。

哪几样是能重复用的

最后给一个对照，因为"分不清"是很多误会的来源。

能重复用的：

密码（你设的那个，反复用）。 两步验证的密码（同上）。

不能重复用的：

验证码（一次有效，而且限时）。 登录二维码（有有效期）。 一次性的邀请链接（而"设成永久"的可以多次用）。

而"要改问法"的那一样：

恢复码（因为它是"每次新发的"，而不是"你存着的"）。

所以那句可以这样记：判断一样东西"能不能反复用"，看它"是不是'你手上的那一份'"——密码是你手上的，而验证码是"每次都新的"。

（而"注册那天该留档哪几样、以及哪些是'你真的该抄下来的'"，我在讲注册当天留档清单的那篇里写过。而这一篇说的是"哪些东西用一次就没了"。）

一个"失效之后"的反应顺序

最后说一件很实际的事：东西失效了，该怎么办。

而"该怎么办"，取决于"它失效在哪条路上"。

所以第一步，不是"重新弄一个"，而是"判断它是哪条路"。

如果它是"被用掉的"——那你要问的是"谁用掉的"。

因为"被用掉"意味着"有人用了它"。

而"有人用了它"这件事，如果是"你自己之前试过"，那就没事；如果是"别人"，那就是另一件事了。

所以那句可以这样记：东西"被用掉"的时候，先别急着重弄，先想一句"除了我，还有谁可能用"——因为"被人用了"和"过期了"，是两种完全不同的事。

如果它是"过期的"——那就没什么可查的，重新弄一个就行。

所以那句可以这样记："过期"只需要重弄，"被用掉"需要先查——因为前者是时间到了，后者是有人动过。

而第二步，才是"重新弄一个"。

而这里有一个很容易做错的：

很多人"重新弄"的时候，会"把旧的那个删掉"。

而那一步，其实没必要，甚至有害。

为什么？

因为"旧的那个"可能还能"告诉你一点东西"——比如"它是什么时候拿到的""它被谁拿走过"。

所以那句可以这样记：旧的先留着，别急着删——因为"它什么时候失效的"，本身就是一个信息。

而第三步，也是我最想说的一句：

如果"被用掉"的那一样是"验证码"，那要做的不是"重弄一个"，而是"查一下号有没有被动过"。

也就是说：

看有没有"新的登录设备"。 看有没有"你没设过的设置"。 看有没有"你不认识的消息"。

所以那句可以这样记：验证码被用掉，不是"补一个"的事，而是"查一遍"的事——因为它可能意味着"有人进去了"。

（而"进去之后该先做什么、以及怎么把人踢出去"，我在讲验证码泄露与止损的那篇里写过。）

几个常见的坑

第一个坑，是以为"没用它就不会失效"。而"过期"也是一条死路。

第二个坑，是把同一个码发给两个人。而那等于"谁先用谁说了算"。

第三个坑，是把几样凭据写在一起。那会"丢一个连带全部"。

第四个坑，是"试试能不能用"。而"试"就是"用"。

第五个坑，是对恢复码问"能不能重复用"。而它是"每次新发的"。

最后

如果只用三句话记住这篇，我希望是这三句话。

验证码、邀请链接、登录二维码这几样，价值恰好等于"它还没被用过"——所以对它们来说，"保管"不是"收好"，而是"别提前用掉"。而"没了"有两条路：被用掉，或者过期。所以"我明明没动它，怎么就失效了"这件事，答案通常是"时间到了"。

而"同一个码能发给两个人吗"——不能，但"不能"的方式不是"两个人都用不了"，而是"谁先用，谁就用掉了"。而在验证码这一样上，这更严重：那等于"把门钥匙递出去"，而"谁先接"你控制不了。所以任何人跟你要验证码，都不该给。

最后：保管一次性凭据有三个要点——分开放（丢一个不连累全部）、标日期（因为过期也是死）、以及"多备一份"（意思是"再申请一个"，不是"复印一堆"）。而最容易被"提前用掉"的动作，是"试试能不能用"——而"试"就是"用"，所以最好的确认就是"别动它"。