您遇到了一些痛点；使用智能设备作为您拥有的类型凭据有一些缺点。

正如您所指出的，智能设备除了作为第二因素凭据外，还经常在身份验证过程中发挥积极作用。这不像最初看起来那样是一个问题。将您的智能设备用作您拥有的东西的目的是，攻击者必须窃取设备并同时访问您的密码才能访问您的帐户。这仍然是正确的，即使设备正在执行身份验证的两个部分，但您质疑它是正确的 - 特别是如果您将密码存储在设备上。在这种情况下，您的双因素身份验证变成了一个因素 - 设备。

智能设备的凭据不佳的另一个原因是它们具有软件堆栈，并且它们通常运行第三方应用程序。换句话说，他们有恶意软件。感染恶意软件的智能设备在将其用作凭证方面等同于被盗的智能设备。

该恶意软件可以发起登录，等待并捕获传入的短信/通知，并读出第二因素代码以完成登录。在最极端的情况下，这将在用户不知情的情况下发生。

所以总而言之，不要太担心 - 你知道这个问题的事实很好，只要确保手机不存储密码或提供自动登录 - 锁定应用程序是不够的，因为攻击者仍然可以直接从手机硬盘读取存储的密码。

而当需要任何真正的安全性时，请使用无法被颠覆的硬件代币，例如 TOTP/HOTP 代币。也就是说，使用智能设备比完全没有第二因素要好得多。

只要您为手机上与 gmail 服务器通信的应用程序使用应用程序特定密码，并且在安装应用程序时要小心，就可以了。

如果您的手机被盗，您所要做的就是撤销应用专用密码并让 GMail 注销所有其他已登录的会话。

看，虽然第二个因素（电话）受到了损害，但第一个因素（密码）却没有。攻击者需要两者。为此，攻击者需要首先通过键盘记录器或带有假证书的 MITM 攻击获取您的 GMail 密码，然后获取您的手机。困难得多，尽管有决心的人可能会得到它。损害您的帐户。

请注意，恶意应用程序可能会获取您的 GMail 密码并拦截身份验证消息，

减轻手机丢失的一种选择是拥有一个需要密码/PIN 才能访问特定应用程序的应用程序拦截器。这使您可以通过一种简单的方法来解锁手机本身，并且需要另一个步骤来解锁应用程序（因此，如果有人借用您的手机一段时间，他们只能访问未阻止的功能）。如果手机被盗，这应该会延迟攻击者足够长的时间，以便您禁用 2-factor auth 并更改您的密码。

正如@lynks 解释的那样，这不会保护您免受恶意软件或熟练的攻击者的侵害，但应该让您相对安全，而不必一直输入您的帐户密码。而且由于安全性和便利性始终是一种折衷，因此您将无法在不牺牲可用性的情况下达到高水平的保护。这就像“记住这台计算机”选项：在这种情况下，计算机本身（或者更具体地说，浏览器的 cookie jar）成为第二个因素，因此您只需要在不受信任的计算机上输入代码。

附加说明：如果您每天在手机上查看您的电子邮件数十次，关闭自动登录意味着您要么必须一直在小键盘上输入复杂/长密码，否则您将结束使用弱密码。如果您只是偶尔这样做，那么这不是问题。请记住这一点，因为这是我之前谈到的权衡的一部分。