问题标签 [google-2fa]

我正在使用phpqrcode创建一个用于两因素身份验证的 qrcode。我一直使用 Google Authenticator 应用程序来满足我所有的 2FA 需求。虽然我可以创建 qrcode，但我不确定确切的格式，因此它可以正确验证。截至目前，当我尝试扫描它时，我会从应用程序中返回“无效条形码”。

生成 qrcode 时，我是使用密钥、url 还是两者的组合？我错过了一些愚蠢的东西，我确定这是因为我不明白在哪里以及如何使用 params 和 otpauth:// url。

我创建了 python 文件，可以使用打开的不太安全的应用程序发送电子邮件，但我需要关闭它。如何使用 2FA 发送电子邮件？

我应该添加什么才能使 2FA 正常工作？

PHP v7.4，Laravel v7.28.3 我使用 pragmarx/google2fa-laravel

二维码生成：

然后我在前端渲染 QR。二维码看起来很完美，我用谷歌 2fa 应用程序扫描它，代码生成器成功添加到应用程序。

当我尝试验证来自应用程序的代码时，它总是返回 false。验证码：

但是，当我使用 $user->google2fa_secret 手动将代码生成器添加到移动应用程序时（我可以在数据库中检查它），它工作得很好，来自这个生成器的所有代码都通过了验证。似乎问题出在生成的 QR 图像中......

我遵循此处解释的相同方法。

我正在使用PHPGangsta_GoogleAuthenticator，如下所示：

如果用户的电子邮件地址 = someguy@mysite.com，则应用程序将显示“trading.com/someguy@mysite.com”。第二个参数是用于生成代码的实际秘密。

令我烦恼的是，它会生成以下内容：

实际应用程序的秘密是：XOB*************，因此它不会在 URL 中公开实际秘密。但是这个网址不能被恶意使用吗？

我想知道：

1. 如果我不应该使用 URL 来下载 QR 码，而不是使用 PHPGansta 库生成的 URL 来显示它？
2. 如果 api.qrserver.com 不是安全威胁，因为我的意思是，他们是谁？我正在向他们发送通过 2fa 身份验证所需的所有详细信息。所以 api.qrserver.com 的漏洞对我来说是非常糟糕的。或者是 api.qrserver.com = google，因此可以吗？

当多个服务器用于同一站点并且请求可能会发送到同一用户的任何服务器时，应使用哪种类型的登录方法？

选项：

1. 基于cookie的登录
2. 基于会话的登录
3. 基于 JWT 的登录
4. 基于2FA的登录

我在 GitHub 上找到了一个项目来生成和检查令牌 (TOTP)。我试图让它工作但失败了。这是代码：

如上所示，我使用该项目生成了 QR 码，并将其扫描到身份验证器应用程序以为我生成令牌。无论我给表单什么代码，验证器应用程序都会失败。谁能向我解释我在这里做错了什么？

近日，GCP 的 IAM 密钥被曝光，安装了矿工。

在 AWS 的情况下，可以在使用访问密钥访问时设置 2fa，或者只能从特定 IP 进行访问。

如果有这样的设置，即使钥匙暴露在外也不会立即发生事故。

我在GCP中搜索了ACL和2FA设置，但是没有key设置，只勾选了instance access设置。

是否可以设置 GCP 的 Web 控制台访问、2FA 访问 IAM 密钥和 IP ACL？

此外，BigQuery 需要基于 IP 的 ACL，但在联系其他团队时无法访问 BigQuery 访问的 ACL，并且仅由 IAM 控制。

如果 IAM 因用户错误而暴露，GCP 有什么办法可以防止这种情况发生？

我正在尝试了解Google Two Factor Authenticator流程是如何工作的，以便将其合并到我的网站中。我的理解是这个过程有两个不同的部分

1. 我网站上的一个用户启用了 2FA，它在我的用户和应用程序之间创建了一个链接。这是一次性步骤，不会在每次登录尝试时发生。
2. 每次用户登录时，他都需要提供来自 Google Authenticator 应用程序的六位数代码。

现在，以下代码生成 QR 图像和设置代码以启用 2FA 并将帐户链接到 Google Authenticate。

现在，对于每个请求，我都会使用以下代码对用户进行身份验证

问题

在上面的代码中，accountSecretKey我必须将代码保存到我的数据库中，以便每次我想验证时都可以传递它吗？或者，accountSecretKey我在每次登录尝试时都必须重新创建的东西？如果此代码我将存储到我的数据库中，它是否也应该像密码一样加密？

刚刚为 Github 添加了 2FA，但现在当我将更改从终端推送到分支并尝试使用用户名 + 密码验证自己时，我被拒绝了，因为无法输入我的 2FA 代码......我知道我的用户名和密码是正确，因为我可以登录该站点（使用 2FA 代码）。终端不提供输入该代码的空间。其他人如何解决这个问题？

我想从https://chart.googleapis.com/chart?chs=200x200&chld=M%%7C0&cht=qr&chl=otpauth%3A%2F%2Ftotp%2Fnamemememe%3Anull%3Fsecret%3DXMYUGG7MAT9GFRXA%26issuer%3Dnamemememe中提取秘密参数

所以我应该得到“XMYUGG7MAT9GFRXA”

我正在使用 JavaScript/React，到目前为止，我已经尝试过 URLSearchParams()、decodeURIComponent() 和查询字符串库，但都没有奏效。