2FA 主要保护交互式登录流程，对已经被窃取、可直接用于 API 调用的长期令牌保护有限。