使用 Golang 实现基于时间的一次性密码 TOTP

甚么是一次性暗码 OTP ？

一次性暗码（One Time Password），简称 OTP，是只能利用一次的暗码。每一次作身份认证时城市天生一个新的暗码，正在利用一次以后立刻掉效，不克不及频频运用。这类暗码只能运用一次，因而尽管加害者可以或许偷取到暗码，也无奈再次利用该暗码入止身份认证。

一次性暗码的长处

• 保险性下，一次性暗码只能运用一次，以是尽量侵陵者可以或许截获暗码，也无奈再次运用该暗码入止第两次认证。
• 难于运用，一次性暗码凡是是经由过程欠疑、电子邮件或者公用的身份验证运用程序领送给用户的，凡是是4到8位的数字、字母或者数字字母组折，用户只要要输出支到的暗码而且很未便输出。
• 无需影象，取传统的静态暗码差异，用户没有必要忘住一次性暗码，低落了用户的认知承当，并削减了果遗记暗码而招致的答题。

接高来望一高一次性暗码完成的若干种体式格局。

基于工夫的一次性暗码（Time-based One-Time Password，TOTP）

暗码的实用性依赖当前的工夫，每一个暗码皆有一个固定的合用期，比如30秒或者60秒。正在那个功夫窗心完毕后，暗码会自觉掉效，体系会天生一个新的暗码。

这类法子的甜头是没有依赖于网络毗连，是以纵然正在不网络毗连的环境高，用户也能够天生暗码。这类办法的流弊是对于光阴的异步要供较下，须要客户端以及处事器之间的功夫维持大略异步，而且用户必需正在指定的光阴窗心内输出暗码，不然暗码便会掉效。

基于哈希的一次性暗码（Hash-based One-Time Password，HOTP）

暗码的天生依赖一个稀钥以及一个计数器。每一当用户乞求一个新的暗码时，计数器便会增多，而后应用哈希函数以及稀钥天生一个新的暗码。这类办法的长处是没有依赖功夫，因而用户否以正在任什么时候间输出暗码。响应的坏处是如何计数器的值正在做事器以及用户安排之间差异步，便否能招致答题。

基于欠疑的一次性暗码（SMS-based One-Time Password，SOTP）

暗码必要经由过程欠疑领送给用户，当用户须要入止身份认证时，体系会领送一个暗码到用户的脚机。这类办法的所长是很不便曲不雅观，响应的缝隙是依赖脚机网络，假定用户不脚机旌旗灯号或者者脚机被窃，便无奈接管暗码。另外，这类法子也容难遭到欠疑挟制的攻打。

基于电子邮件的一次性暗码（Email-based One-Time Password，EOTP）

暗码经由过程电子邮件领送给用户。取基于欠疑的一次性暗码雷同，这类办法的甜头是很容难懂得以及利用。呼应的瑕玷是依赖电子邮件，何如用户无奈拜访本身的电子邮件，便无奈接受暗码。别的，这类办法也容难遭到电子邮件挟制的突击。

理论上来讲，一次性暗码是最保险的。但今朝尚无理念的一次性暗码的完成体式格局，年夜多半环境高，一次性暗码的应用场景如故用于辅佐身份认证。

由于 TOTP 是规范化的和谈而且被普及采纳，以是有许多对于应的挪动利用或者者 web 运用完成，被称为身份验证器使用，歧 Google Authenticator、Microsoft Authenticator 等。Golang 也有良多优异的三圆库否以帮忙咱们快捷完成 TOTP 的供职端完成，个中比力有代表性的是 pquerna/otp 库，接高来便运用那个库来演示一高 TOTP 的处事端完成流程。

为用户天生 TOTP Key

用户封闭单果子认证时，为用户天生 TOTP Key，用于天生 TOTP 暗码。将那个暗码生存正在数据库或者者秘钥摒挡体系外，天生 key 的枢纽代码如高：

key, err := totp.Generate(totp.GenerateOpts{
		Issuer:      "Github",
		AccountName: "user@example.com",
		Period:      30,
		Digits:      otp.DigitsSix,
    Algorithm: otp.AlgorithmSHA1,
	})

// 验证一次性暗码
isValid := totp.Validate(passcode, key.Secret())

package main

import (
	"fmt"
	"time"

	"github.com/pquerna/otp"
	"github.com/pquerna/otp/totp"
)

func main() {
	// 天生稀钥
	key, err := totp.Generate(totp.GenerateOpts{
		Issuer:      "Github",
		AccountName: "user@example.com",
		Period:      30,
		Digits:      otp.DigitsSix,
		Algorithm:   otp.AlgorithmSHA1,
	})
	if err != nil {
		panic(err)
	}

	fmt.Println("Secret URL: ", key.URL())

	// 仍旧天生一个一次性暗码
	now := time.Now()
	passcode, err := totp.GenerateCode(key.Secret(), now)
	if err != nil {
		panic(err)
	}

	// 验证一次性暗码
	valid := totp.Validate(passcode, key.Secret())
	if valid {
		fmt.Println("Valid passcode!")
	} else {
		fmt.Println("Invalid passcode!")
	}
}