two-factor-authentication - 如何确保 TOTP 的用户密钥有效？

Question

我正在开发一个 2FA 应用程序。
有没有办法让我使用用户提供的用于生成其令牌的密钥事先有效？

编辑：
澄清：我没有提供登录服务器，而是为用户生成令牌（想想 authy 或 google 身份验证器）

Answer 1

您需要将生成的密钥存储在某处，内存或数据库中。然后在发回密钥时，与存储的值进行检查。

Answer 2

验证秘密是否正确的唯一方法是生成一个令牌并将其提交给为用户生成和存储秘密的服务。如果服务同意令牌是正确的，那么您就有正确的秘密。