使用otpgo实现Golang中的TOTP和HOTP双因素认证

otpgo是一个Golang库，用于实现基于时间的一次性密码(TOTP)和基于HMAC的一次性密码(HOTP)的双因素认证功能。下面我将介绍如何使用这个库。

安装otpgo

首先安装otpgo库：

go get github.com/jltorresm/otpgo

TOTP实现示例

TOTP是基于时间的一次性密码算法，常用于Google Authenticator等应用。

package main

import (
	"fmt"
	"github.com/jltorresm/otpgo"
	"github.com/jltorresm/otpgo/totp"
	"time"
)

func main() {
	// 1. 生成TOTP密钥
	key, err := totp.GenerateKey(totp.GenerateKeyOpts{
		Issuer:      "MyApp",
		AccountName: "user@example.com",
	})
	if err != nil {
		panic(err)
	}

	fmt.Printf("密钥: %s\n", key.Secret())
	fmt.Printf("二维码URI: %s\n", key.URI())

	// 2. 生成当前时间的TOTP密码
	code, err := totp.GenerateCode(key.Secret(), time.Now())
	if err != nil {
		panic(err)
	}
	fmt.Printf("当前TOTP密码: %s\n", code)

	// 3. 验证TOTP密码
	valid, err := totp.ValidateCustom(code, key.Secret(), time.Now(), totp.ValidateOpts{
		Digits:    6,          // 6位数字
		Period:    30,         // 30秒有效期
		Skew:      1,          // 允许前后1个时间窗口
		Algorithm: otpgo.SHA1, // 使用SHA1算法
	})
	if err != nil {
		panic(err)
	}
	fmt.Printf("验证结果: %v\n", valid)
}

HOTP实现示例

HOTP是基于计数器的一次性密码算法。

package main

import (
	"fmt"
	"github.com/jltorresm/otpgo"
	"github.com/jltorresm/otpgo/hotp"
)

func main() {
	// 1. 生成HOTP密钥
	key, err := hotp.GenerateKey(hotp.GenerateKeyOpts{
		Issuer:      "MyApp",
		AccountName: "user@example.com",
	})
	if err != nil {
		panic(err)
	}

	fmt.Printf("密钥: %s\n", key.Secret())
	fmt.Printf("二维码URI: %s\n", key.URI())

	// 2. 生成指定计数器的HOTP密码
	counter := uint64(42) // 计数器值
	code, err := hotp.GenerateCode(key.Secret(), counter)
	if err != nil {
		panic(err)
	}
	fmt.Printf("计数器%d的HOTP密码: %s\n", counter, code)

	// 3. 验证HOTP密码
	valid, err := hotp.ValidateCustom(code, counter, key.Secret(), hotp.ValidateOpts{
		Digits:    6,          // 6位数字
		Algorithm: otpgo.SHA1, // 使用SHA1算法
	})
	if err != nil {
		panic(err)
	}
	fmt.Printf("验证结果: %v\n", valid)
}

实际应用场景

在实际应用中，你通常会：

1. 在用户注册时生成密钥并保存到数据库
2. 提供二维码让用户用验证器应用扫描
3. 在登录时要求用户输入验证码并验证

// 用户注册时生成TOTP密钥
func generateTOTPForUser(userID string) (string, string, error) {
	key, err := totp.GenerateKey(totp.GenerateKeyOpts{
		Issuer:      "MyApp",
		AccountName: userID,
	})
	if err != nil {
		return "", "", err
	}
	
	// 保存key.Secret()到用户数据库
	return key.Secret(), key.URI(), nil
}

// 验证用户输入的TOTP
func verifyTOTP(userID, userCode string) (bool, error) {
	// 从数据库获取用户保存的secret
	secret := getUserSecret(userID)
	
	valid, err := totp.ValidateCustom(userCode, secret, time.Now(), totp.ValidateOpts{
		Digits:    6,
		Period:    30,
		Skew:      1,
		Algorithm: otpgo.SHA1,
	})
	
	return valid, err
}

注意事项

1. 密钥(secret)必须安全存储，建议加密后存入数据库
2. 考虑实现备用代码机制，以防用户丢失设备
3. 对于HOTP，需要安全地存储和更新计数器值
4. 在生产环境中，应该限制验证尝试次数防止暴力破解

otpgo库提供了灵活的参数配置，你可以根据需要调整密码长度、哈希算法、时间窗口等参数来满足不同的安全需求。