适用范围：通用原则不等于平台规则
讨论火币交易所子账户需要注意哪些问题，首先应区分平台功能与通用安全原则。NIST的多因素认证说明和RFC 9700的OAuth安全规范，均不是火币子账户功能文档，不能据此确认其开户条件、权限设置、验证方式或接口机制。以下内容适用于安全检查；具体功能是否存在，需要以平台正式说明为准。
主账户与子账户的权限边界
子账户名称本身不能证明权限已经隔离。需要明确哪些身份能够管理其他账户、修改安全设置，以及接触敏感数据。若主账户具有集中管理能力，其凭据失窃可能影响关联账户，因此管理权限应限制在确有需要的人员范围内。
NIST的说明强调多因素认证、按需授予访问权限，以及在职责变化或人员离开后撤销访问。对应到账户管理，重点是每项授权都有明确用途和负责人，而不是长期保留不再使用的权限。
多因素认证能防什么，不能防什么
多因素认证结合不同类别的身份凭据，例如密码与持有的安全密钥。它能在密码泄露后增加一道验证屏障，但短信验证码和一次性口令仍可能被钓鱼页面骗取。NIST指出，基于FIDO与WebAuthn的认证方式可提供抗钓鱼保护。
如果账户支持相应验证方式，可将其纳入安全评估；不能由通用规范推断火币已经提供该功能。验证码不应转交他人，账户恢复入口也应受到保护，否则恢复流程可能成为薄弱环节。
第三方授权与登录验证分别检查
RFC 9700针对OAuth授权安全，强调严格校验重定向地址，并通过PKCE等机制防范授权码被截获或滥用。这些要求只有在相关服务采用OAuth时才直接适用，不能套用于所有交易所API密钥。
登录验证与接口授权是不同环节。即使登录启用了多因素认证，也不能据此认定已签发的令牌或密钥不会被滥用。对接外部工具时，需要明确授权对象、权限范围和撤销方式，避免将登录安全误认为全部访问路径的安全。
常见问题：停用账户是否等于收回访问
不一定。账户停用、登录会话结束和第三方授权撤销是否联动，取决于系统设计。人员变动或工具停用时，应分别核对账户访问、现有会话及接口凭据的状态。
子账户也不天然代表风险完全隔离。判断隔离程度，应看实际权限关系和访问控制，而不是账户名称或数量。无法核实的平台规则，不宜用行业惯例代替确认。