Autenticação dupla

Olá, tudo bem?

Quando se refere a validação, o quer dizer?

No QrCode podemos atrelar uma string (que pode ser um hash), você pode usar essa string para fazer qualquer coisa util dentro do seu sistema, até mesmo para portar dados (payload).

Quando o usuário entra com a senha e o sistema confere, primeira validação. Um banco faz isso. Senha de internet mais um código pelo celular (primeira validação). Depois vem o QRcode como segunda validação...

Boa noite!

Neste caso você deve gerar o QrCode no dispositivo mobile, e salvar essa informação (token) via API no banco, quando o usuário for acessar precisa confirmar o valor com a leitura do QrCode, se bater permite o acesso, caso contrário bloqueia.