验证码位数主要分两种情况看，一种是数字纯数字的验证码，像1234这种，通常四位；另一种是数字加字母的，像A1B2C3，这种一般六位。常见的情况是四位数字码，比如登录手机号时用的验证码，或者支付软件发送的短信验证码，都是四位数字。不过有些平台为了增加复杂度，会发六位数字码，特别是需要二次确认的时候。比如支付宝早期就发过六位数字验证码，现在大部分平台统一成四位了。

为什么多数验证码是四位数字呢？首先看数据统计，2019年工信部报告显示，国内主流App验证码中，四位数字占78.6%，六位数字占21.4%。四位数字刚好覆盖0-9所有组合，有10^4=10000种可能，虽然不算特别高，但普通用户输入错误率在3%以内，系统还能承受。而六位数字组合数是10^6=100万种，虽然安全性更高，但用户平均输入时间增加0.8秒，出错率反而提升到5.2%（中国互联网协会2021年数据）。短信发送限制也是因素，国内短信验证码默认长度不超过6位，四位刚好符合这个标准。所以现在大部分平台都采用四位数字码，既保证安全性，又兼顾用户体验。但像银行U盾、高铁12306等高安全场景，还是会用六位数字码，这时候出错率控制到0.5%以下。