我已经在 Linux 上配置了 Google 身份验证器，并且我的 mfa 工作正常，但据我说，MFA 令牌应该在 30 秒内过期，但即使在 30 秒后我也可以使用该令牌。
如果我使用令牌，那么它是不可重复使用的，但如果我在 30 秒内不使用它，那么我也可以在一段时间后使用它。这是正常的吗？我希望我的令牌在 30 秒内过期，即使我使用或未使用它。有人可以帮我吗？
问问题
4545 次
1 回答
12
尽管您的时间步长可能只有 30 秒，但 RFC 指定验证服务应及时来回搜索 OTP 值。由于时钟的漂移，建议这样做。https://www.rfc-editor.org/rfc/rfc6238#section-6
这就是为什么大多数系统（包括 Google 本身）都允许之前的 OTP，因此虽然代码每 30 秒重新生成一次，但每个 OTP 仍然有效 60 秒。您需要检查您的服务器端设置
于 2016-11-30T14:30:25.183 回答