使用OTP动态令牌认证

为加强网络安全管理，降低帐号被冒用、盗用等带来的风险，有些系统启用OTP手机令牌双因子认证登录，即在原有用户名+密码认证的基础上，增加OTP动态口令认证。基于OTP算法的动态令牌加强了帐号的安全性，简单易用。

1、什么是OTP动态令牌认证？

OTP（One-Time Password）是一种基于共享密钥和时间戳算法的一次性密码。一般每30或60秒产生一个新口令，在客户端的动态口令和服务器的动态口令验证时，要求客户端和服务器能够保持一致的时间，计算的动态口令才能一致。
OTP算法是公开的，所以可以使用市面上任意一种支持OTP的客户端。

实现OTP的算法主要有两种：

• HOTP（HMAC-Based One-Time Password Algorithm）：基于 HMAC 的一次性密码。
• TOTP（Time-Based One-Time Password Algorithm）：基于时间戳的一次性密码。

2、怎么使用OTP动态口令？

2.1、OTP客户端

在手机的应用商店搜索：身份验证器，建议选择微软的Authenticator；或者在微信小程序中搜索：腾讯身份验证器。

2.2、添加账号：基本原理是设置共享密钥（key），一般通过扫描二维码方式

二维码内容的格式如下：

otpauth://totp/{label}?secret={secret}&issuer={issuer}

label可以填写用户的名字,secret是经过 Base32 编码后的密钥,issuer是发行者

示例：

otpauth://totp/GitHub:monchickey?secret=EPKCRBXZHDPHOOZH&issuer=GitHub

前面的 otpauth 表示协议，totp 表示采用基于时间的一次性密码，GitHub 说明发行者是 GitHub，后面的格式就是：<用户名>?secret=<密钥 base32 值>&issuer=<发行者>。

包含中文的示例：
otpauth://totp/%E5%8…%B7%20123?secret=EPKCRBXZHDPHOOZH&issuer=%E9…%BF%9D

注：帐号对应的密钥是OTP令牌生成的唯一标识，请勿分享给他人。

2.3、打开身份验证器客户端，查看OTP动态口令

3、示例

3.1、服务器端代码

class OtpServer(object):
    def __init__(self, key):
        if key:
            # base64.b64encode(key.encode('utf-8')).decode('utf-8')
            self.key = key
        else:
            self.key = None

    def verify(self, code):
        """
        验证动态口令
        """
        if self.key is None or code is None or len(code) < 0:
            return False
        try:
            otp = pyotp.TOTP(base64.b32encode(self.key.encode('utf-8')).decode('utf-8'))
            # 当前时间前后刷新周期数（验证码数），防止因网速、用户操作速度等导致的时间不一致
            return otp.verify(code, valid_window=5)
        except Exception as ex:
            return False

    def showqr(self):
        """
        生成二维码，用于OTP客户端扫描方式添加账号
        """
        if self.key is None:
            return ''
        try:
            otp = pyotp.TOTP(base64.b32encode(self.key.encode('utf-8')).decode('utf-8'))
            # otpauth://TYPE/LABEL?PARAMETERS
            uri = otp.provisioning_uri(name='MyTestTOTP', issuer_name='OTP令牌')
            return uri
        except Exception as ex:
            return False

3.2、客户端代码

class OtpClient(object):
    def __init__(self, key):
        if key:
            self.key = key
        else:
            self.key = None

    def create_totp(self):
        if self.key is None:
            return ''
        try:
            otp = pyotp.TOTP(base64.b32encode(self.key.encode('utf-8')).decode('utf-8'))
            code = otp.now()
            print(code)
            return code
        except Exception as ex:
            return None

3.3、模拟使用代码

客户端生成动态口令（微软身份验证器不让截屏，其实不用写代码），服务器端验证口令是否合法

if __name__ == '__main__':
    c = OtpClient('MyTestSecret')
    print(c.create_totp())
    s = OtpServer('MyTestSecret')
    code = input('input code:')
    print(s.verify(code))

结果为True说明验证通过