Golang实现基于时间的一次性密码TOTP

上篇文章详细讲解了一次性密码 OTP 相关的知识，基于时间的一次性密码 TOTP 是 OTP 的一种实现方式。这种方法的优点是不依赖网络，因此即使在没有网络的情况下，用户也可以生成密码。所以这种方式被许多流行的网站使用到双因子或多因子认证中，包括 Google、GitHub、Facebook 和 Salesforce 等等。

因为 TOTP 是标准化的协议并且被广泛采用，所以有很多对应的移动应用或者 web 应用实现，被称为身份验证器应用，例如 Google Authenticator、Microsoft Authenticator 等。Golang 也有很多优秀的三方库可以帮助我们快速实现 TOTP 的服务端实现，其中比较有代表性的是 pquerna/otp 库，接下来就使用这个库来演示一下 TOTP 的服务端实现流程。

为用户生成 TOTP Key

用户开启双因子认证时，为用户生成 TOTP Key，用于生成 TOTP 密码。将这个密码保存在数据库或者秘钥管理系统中，生成 key 的关键代码如下：

key, err := totp.Generate(totp.GenerateOpts{
        Issuer:      "Github",
        AccountName: "user@example.com",
        Period:      30,
        Digits:      otp.DigitsSix,
    Algorithm: otp.AlgorithmSHA1,
    })

这几个参数的意思如下：

Issuer 意思是应用名称，例如 Github。

AccountName 意思要给哪个用户生成 key。

Period 意思是 TOTP 密码的有效时间，也是不同 TOTP 密码的生成时间间隔，一般为 30 秒。

Digits 意思是生成的密码长度，一般为 6 位。

Algorithm，用于 HMAC 签名的算法，默认是 SHA1。

把密钥和密码生成规则分享给用户

通常是将秘钥和密码规则信息以二维码的形式展示给用户，用户使用身份验证器应用扫描二维码保存相关信息并且生成密码。二维码中的内容格式一般如下：

otpauth://totp/Github:user@example.com?algorithm=SHA1&digits=6&issuer=Github&period=30&secret=5RLOAFJOB6LRV7WOKFIMDZ5IESZ7L3JM

为用户提供“恢复码” Recovery Codes

生成“恢复码” Recovery Codes （使用随机生成的字符串即可）存储到数据库或者秘钥管理系统中。当用户不能访问自己的 TOTP 设备（例如将 TOTP 应用中的 TOTP 秘钥删除了、将 TOTP 应用卸载了、手机丢失了等）时，就无法登录自己的帐户了。因为这种情况比较常见，所以很多网站都会给用户提供“备份代码”或“恢复代码”，并且每个只能使用一次，可以临时用来代替 TOTP 密码。

校验用户输入的 TOTP 密码

用户再次登录后，触发双因子认证，要求用户输入 TOTP 密码，服务端检验这个密码。校验的关键代码如下：

// 验证一次性密码
isValid := totp.Validate(passcode, key.Secret())

模拟生成密钥、校验密码的代码

package main
 
import (
    "fmt"
    "time"
 
    "github.com/pquerna/otp"
    "github.com/pquerna/otp/totp"
)
 
func main() {
    // 生成密钥
    key, err := totp.Generate(totp.GenerateOpts{
        Issuer:      "Github",
        AccountName: "user@example.com",
        Period:      30,
        Digits:      otp.DigitsSix,
        Algorithm:   otp.AlgorithmSHA1,
    })
    if err != nil {
        panic(err)
    }
 
    fmt.Println("Secret URL: ", key.URL())
 
    // 模拟生成一个一次性密码
    now := time.Now()
    passcode, err := totp.GenerateCode(key.Secret(), now)
    if err != nil {
        panic(err)
    }
 
    // 验证一次性密码
    valid := totp.Validate(passcode, key.Secret())
    if valid {
        fmt.Println("Valid passcode!")
    } else {
        fmt.Println("Invalid passcode!")
    }
}

到此这篇关于Golang实现基于时间的一次性密码TOTP的文章就介绍到这了,更多相关Go一次性密码内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！