Golang实现基于时间的一次性密码TOTP

 更新时间:2023年11月07日 08:36:24   作者:路多辛  
基于时间的一次性密码 TOTP 是 OTP 的一种实现方式,这种方法的优点是不依赖网络,因此即使在没有网络的情况下,用户也可以生成密码,下面我们就来看看如何使用golang实现一次性密码TOTP吧

上篇文章详细讲解了一次性密码 OTP 相关的知识,基于时间的一次性密码 TOTP 是 OTP 的一种实现方式。这种方法的优点是不依赖网络,因此即使在没有网络的情况下,用户也可以生成密码。所以这种方式被许多流行的网站使用到双因子或多因子认证中,包括 Google、GitHub、Facebook 和 Salesforce 等等。

因为 TOTP 是标准化的协议并且被广泛采用,所以有很多对应的移动应用或者 web 应用实现,被称为身份验证器应用,例如 Google Authenticator、Microsoft Authenticator 等。Golang 也有很多优秀的三方库可以帮助我们快速实现 TOTP 的服务端实现,其中比较有代表性的是 pquerna/otp 库,接下来就使用这个库来演示一下 TOTP 的服务端实现流程。

为用户生成 TOTP Key

用户开启双因子认证时,为用户生成 TOTP Key,用于生成 TOTP 密码。将这个密码保存在数据库或者秘钥管理系统中,生成 key 的关键代码如下:

key, err := totp.Generate(totp.GenerateOpts{
        Issuer:      "Github",
        AccountName: "user@example.com",
        Period:      30,
        Digits:      otp.DigitsSix,
    Algorithm: otp.AlgorithmSHA1,
    })

这几个参数的意思如下:

Issuer 意思是应用名称,例如 Github。

AccountName 意思要给哪个用户生成 key。

Period 意思是 TOTP 密码的有效时间,也是不同 TOTP 密码的生成时间间隔,一般为 30 秒。

Digits 意思是生成的密码长度,一般为 6 位。

Algorithm,用于 HMAC 签名的算法,默认是 SHA1。

把密钥和密码生成规则分享给用户

通常是将秘钥和密码规则信息以二维码的形式展示给用户,用户使用身份验证器应用扫描二维码保存相关信息并且生成密码。二维码中的内容格式一般如下:

otpauth://totp/Github:user@example.com?algorithm=SHA1&digits=6&issuer=Github&period=30&secret=5RLOAFJOB6LRV7WOKFIMDZ5IESZ7L3JM

为用户提供“恢复码” Recovery Codes

生成“恢复码” Recovery Codes (使用随机生成的字符串即可)存储到数据库或者秘钥管理系统中。当用户不能访问自己的 TOTP 设备(例如将 TOTP 应用中的 TOTP 秘钥删除了、将 TOTP 应用卸载了、手机丢失了等)时,就无法登录自己的帐户了。因为这种情况比较常见,所以很多网站都会给用户提供“备份代码”或“恢复代码”,并且每个只能使用一次,可以临时用来代替 TOTP 密码。

校验用户输入的 TOTP 密码

用户再次登录后,触发双因子认证,要求用户输入 TOTP 密码,服务端检验这个密码。校验的关键代码如下:

// 验证一次性密码
isValid := totp.Validate(passcode, key.Secret())

模拟生成密钥、校验密码的代码

package main
 
import (
    "fmt"
    "time"
 
    "github.com/pquerna/otp"
    "github.com/pquerna/otp/totp"
)
 
func main() {
    // 生成密钥
    key, err := totp.Generate(totp.GenerateOpts{
        Issuer:      "Github",
        AccountName: "user@example.com",
        Period:      30,
        Digits:      otp.DigitsSix,
        Algorithm:   otp.AlgorithmSHA1,
    })
    if err != nil {
        panic(err)
    }
 
    fmt.Println("Secret URL: ", key.URL())
 
    // 模拟生成一个一次性密码
    now := time.Now()
    passcode, err := totp.GenerateCode(key.Secret(), now)
    if err != nil {
        panic(err)
    }
 
    // 验证一次性密码
    valid := totp.Validate(passcode, key.Secret())
    if valid {
        fmt.Println("Valid passcode!")
    } else {
        fmt.Println("Invalid passcode!")
    }
}

到此这篇关于Golang实现基于时间的一次性密码TOTP的文章就介绍到这了,更多相关Go一次性密码内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家!

相关文章

  • VS Code安装go插件失败原因分析以及解决方案

    VS Code安装go插件失败原因分析以及解决方案

    vscode安装go插件时,由于各种原因,在安装插件时总是失败,下面这篇文章主要给大家介绍了关于VS Code安装go插件失败原因分析以及解决的相关资料,文中通过实例代码介绍的非常详细,需要的朋友可以参考下
    2022-09-09
  • Go字典使用详解

    Go字典使用详解

    今天和大家一起学习Go语言的字典。Go语言的字典又称为map,一种使用广泛的数据结构。它是拥有key/value对元素的「无序集合」,而且在集合中key必须是唯一的
    2022-11-11
  • Go chassis云原生微服务开发框架应用编程实战

    Go chassis云原生微服务开发框架应用编程实战

    这篇文章主要为大家介绍了Go chassis云原生微服务开发框架应用编程实战示例详解,有需要的朋友可以借鉴参考下,希望能够有所帮助,祝大家多多进步,早日升职加薪
    2022-08-08
  • go语言实现markdown解析库的方法示例

    go语言实现markdown解析库的方法示例

    这篇文章主要介绍了go语言实现markdown解析库的方法示例,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
    2020-02-02
  • Go并发编程实践

    Go并发编程实践

    并发编程一直是Golang区别与其他语言的很大优势,也是实际工作场景中经常遇到的。近日笔者在组内分享了我们常见的并发场景,及代码示例,以期望大家能在遇到相同场景下,能快速的想到解决方案,或者是拿这些方案与自己实现的比较,取长补短。现整理出来与大家共享
    2017-01-01
  • Golang实现解析JSON的三种方法总结

    Golang实现解析JSON的三种方法总结

    这篇文章主要为大家详细介绍了Golang实现解析JSON的三种方法,文中的示例代码讲解详细,对我们学习了解JSON有一定帮助,需要的可以参考一下
    2022-09-09
  • Go语言实现运算符重载的方法详解

    Go语言实现运算符重载的方法详解

    这篇文章主要为大家详细介绍了如何利用Go语言实现运算符重载的方法,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下
    2022-09-09
  • golang 实现并发求和

    golang 实现并发求和

    这篇文章主要介绍了golang 并发求和的实现方式,具有很好的参考价值,希望对大家有所帮助。一起跟随小编过来看看吧
    2021-05-05
  • Go语言Echo服务器的方法

    Go语言Echo服务器的方法

    这篇文章主要介绍了Go语言Echo服务器的方法,实例分析了Echo服务器的技巧,具有一定参考借鉴价值,需要的朋友可以参考下
    2015-02-02
  • 浅谈Golang中创建一个简单的服务器的方法

    浅谈Golang中创建一个简单的服务器的方法

    这篇文章主要介绍了浅谈Golang中创建一个简单的服务器的方法,golang中的net/http包对网络的支持非常好,这样会让我们比较容易的建立起一个相对简单的服务器,有一定的参考价值,感兴趣的小伙伴们可以参考一下
    2018-06-06

最新评论