TOTP / 2FA 验证码生成器

什么是 TOTP / 2FA 验证码生成器？

// Generate a TOTP code in the browser with the Web Crypto API
// (SHA-1, 6 digits, 30s period — RFC 6238 defaults)
async function generateTotp(base32Secret, time = Date.now()) {
  // Decode the Base32 secret to raw bytes (A-Z, 2-7)
  const alpha = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';
  let bits = '';
  for (const c of base32Secret.replace(/=+$/, '').toUpperCase())
    bits += alpha.indexOf(c).toString(2).padStart(5, '0');
  const bytes = new Uint8Array(
    bits.match(/.{8}/g).map((b) => parseInt(b, 2)));

  // Counter = number of 30s steps since the Unix epoch (8-byte big-endian)
  const counter = Math.floor(time / 1000 / 30);
  const msg = new Uint8Array(8);
  let c = counter;
  for (let i = 7; i >= 0; i--) { msg[i] = c & 0xff; c = Math.floor(c / 256); }

  const key = await crypto.subtle.importKey(
    'raw', bytes, { name: 'HMAC', hash: 'SHA-1' }, false, ['sign']);
  const hmac = new Uint8Array(await crypto.subtle.sign('HMAC', key, msg));

  // Dynamic truncation (RFC 4226) -> 6-digit code
  const off = hmac[hmac.length - 1] & 0x0f;
  const bin = ((hmac[off] & 0x7f) << 24) | (hmac[off + 1] << 16) |
              (hmac[off + 2] << 8) | hmac[off + 3];
  return (bin % 1_000_000).toString().padStart(6, '0');
}

const code = await generateTotp('JBSWY3DPEHPK3PXP');
// -> a 6-digit code that rotates every 30 seconds

核心功能

TOTP 生成器示例

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-1
digits: 6
period: 30s

Code: 282760  ·  expires in 30s

secret: JBSWY3DPEHPK3PXP
algorithm: SHA-256
digits: 8
period: 30s

Code: 31094217  ·  expires in 30s

issuer: Acme
account: alice@example.com
secret: JBSWY3DPEHPK3PXP

otpauth://totp/Acme:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Acme&algorithm=SHA1&digits=6&period=30

如何使用 TOTP 生成器

1. 1

   粘贴一个 Base32 密钥

   在「生成」标签页中，粘贴你的 Base32 密钥（例如 JBSWY3DPEHPK3PXP）。当前的 TOTP 验证码会立即出现并带有 30 秒倒计时 —— 无需生成按钮。

2. 2

   调整高级选项（可选）

   打开高级选项可以更改算法（SHA-1/256/512）、位数（6 或 8）或周期（30 或 60 秒），以匹配你服务商签发的参数。

3. 3

   设置或验证

   使用「设置」标签页为身份验证器应用生成密钥和二维码，或使用「验证」标签页以 ±1 时间步的容差对照密钥校验某个验证码。

常见错误

secret + SHA-1/6 digits  // but server expects SHA-256/8

algorithm: SHA-256, digits: 8  // match the otpauth:// URI

system clock 90s fast  // code is two steps ahead

enable NTP / automatic time  // code aligns with server

secret: "JBSW 0NE8"  // contains 0 and 8

secret: "JBSWY3DPEHPK3PXP"  // valid Base32

常见用例

调试 2FA 登录流程

重现用户身份验证器应用显示的确切验证码，从而追踪双因素登录被拒绝的原因。

录入新账户

生成一个全新的 Base32 密钥和二维码，然后把它扫描进 Google Authenticator、Authy 或 1Password 来设置 2FA。

验证服务器的窗口

对照密钥验证验证码，以确认你的后端接受刚刚轮换过的验证码并拒绝已过期的验证码。

构建端到端测试夹具

从已知密钥计算确定性的 TOTP 验证码，以驱动双因素认证流程的自动化测试。

匹配企业设置

当服务商偏离 SHA-1 / 6 位默认设置时，重现 8 位或 SHA-256 验证码，以调试不匹配问题。

快速恢复访问

当手机不可用时，从备份的密钥生成当前验证码 —— 使用密钥的一次性副本。

技术细节

符合 RFC 6238 / RFC 4226

在 RFC 4226 的 HOTP 动态截断算法之上按 RFC 6238 实现 TOTP，可选 SHA-1、SHA-256 和 SHA-512。

原生 Web Crypto HMAC

验证码通过 crypto.subtle HMAC 对大端序的时间步计数器推导得出。Base32 解码和截断完全在浏览器中运行。

标准 otpauth:// URI，零依赖

设置 URI 遵循 Key Uri Format（otpauth://totp），带有颁发者、算法、位数和周期参数。没有外部库，没有网络调用。

最佳实践

把密钥当作密码对待

任何持有 Base32 密钥的人都能生成未来的每一个验证码。把它存放在密钥管理器中，绝不要放进源代码控制，并在此处优先使用测试密钥。

保持时钟同步

TOTP 依赖准确的时间。在服务器和设备上启用网络时间同步，使验证码落在验证窗口之内。

除非必要否则坚持默认设置

SHA-1、6 位数字和 30 秒周期能最大化应用兼容性。仅在服务商强制要求时才切换为 8 位或 SHA-256/512。

TOTP / 2FA 生成器常见问题