Golang 中的 OTP

Golang 中的 OTP（One-Time Password，一次性密码）是实现身份验证的机制之一。它生成的一次性密码只能在特定的时间段内使用，比传统的用户名和密码更加安全。OTP 通常需要一个密钥作为种子来生成密码，这个密钥只有用户和认证服务器知道。

OTP 库

• github.com/hgfischer/go-otp
• github.com/pquerna/otp
• github.com/tilaklodha/google-authenticator

这里我们介绍使用 github.com/pquerna/otp 库来实现 OTP。

安装

go get github.com/pquerna/otp

生成密钥

可以使用 otp.RandomSecret(16) 生成一个 16 字节的随机字节序列作为密钥。

package main

import (
	"fmt"

	"github.com/pquerna/otp"
)

func main() {
	secret := otp.RandomSecret(16)
	fmt.Printf("Secret: %x", secret)
}

(代码片段：go-otp-generate-secret.go)

生成 OTP

指定类型和密钥，可以用 hotp.GenerateCode(uint64, []byte) 生成一个 HOTP。
指定类型和密钥，可以用 totp.GenerateCode([]byte, time.Time) 生成一个 TOTP。

package main

import (
	"fmt"
	"time"

	"github.com/pquerna/otp"
	"github.com/pquerna/otp/totp"
)

func main() {
	secret := "NHB26A3PY4ZZSMGY"

	t := time.Now().UTC()
	passcode, err := totp.GenerateCode(secret, t)
	if err != nil {
		fmt.Printf("Failed to generate code: %v", err)
	}

	qr, err := otp.GenerateQR("test@example.com", secret, "Example", otp.DefaultIssuer)
	if err != nil {
		fmt.Printf("Failed to generate QR code: %v", err)
	}
	fmt.Println(qr)

	fmt.Printf("Code: %v\n", passcode)
}

(代码片段：go-otp-generate-code.go)

在控制台输出的最后，可以看到生成的谷歌身份验证器二维码。

验证 OTP

指定类型和密钥，可以用 hotp.ValidateCode(uint64, []byte) 验证一个 HOTP。
指定类型和密钥，可以用 totp.ValidateCode([]byte, []byte, time.Time) 验证一个 TOTP。

package main

import (
	"fmt"
	"time"

	"github.com/pquerna/otp"
	"github.com/pquerna/otp/totp"
)

func main() {
	secret := "NHB26A3PY4ZZSMGY"

	t := time.Now().UTC()
	passcode, err := totp.GenerateCode(secret, t)
	if err != nil {
		fmt.Printf("Failed to generate code: %v", err)
	}

	ok, err := totp.Validate(passcode, secret)
	if err != nil {
		fmt.Printf("Failed to validate code: %v", err)
	}

	if ok {
		fmt.Println("Code is valid")
	} else {
		fmt.Println("Code is not valid")
	}
}

(代码片段：go-otp-validate.go)

结论

通过 Golang 中的 OTP 实现身份验证，比传统的用户名和密码更加安全。使用 OTP，可以生成一次性密码，有效地降低了攻击者的突破口。同时，OTP 还管理了密码的生命周期，仅在特定的时间段内使用，降低了密码被泄露的风险。