TOTP是什么？

TOTP 是Time-based One-Time Password的简写，表示基于时间戳算法的一次性密码。 是时间同步，基于客户端的动态口令和动态口令验证服务器的时间比对，一般每60秒，或30秒产生一个新口令，要求客户端和服务器能够十分精确的保持正确的时钟，客户端和服务端基于时间计算的动态口令才能一致。

适用场景服务器登录动态密码验证公司VPN登录双因素验证银行转账动态密码网银、网络游戏的实体动态口令牌等基于时间有效性验证的应用场景TOTP的基本原理TOTP计算公式

TOTP(K, TC) = Truncate(HMAC-SHA-1(K, TC))

K，密钥串 HMAC-SHA-1， 表示使用SHA-1做HMAC（当然也可以使用SHA-256等）

C，基于时间戳计算得出，通过定义纪元（T0）的开始并以时间间隔（TI）为单位计数，将当前时间戳变为整数时间计数器（TC）

Truncate，是一个函数，用于截取加密后的字符串

TC的计算公式

TC = (T - T0) / T1;

T，当前的时间戳 T0，起始时间，一般为0 T1，时间间隔，根据业务需要自定义

Truncate函数取加密后的最后一个字节的的低4位，offset；以offset开始取4个字节，按照大端方式组成整数，binary；根据需要的长度对binary取模，opt以字符串方式返回opt，并补足长度

h = hmac.new(self.key.encode(), msg, sha256).digest()offset = h[len(h)-1] & 0xfbinary = (h[offset] & 0x7f) << 24binary = binary | ((h[offset+1] & 0xff)<<16)binary = binary | ((h[offset+2] & 0xff)<<8)binary = binary | (h[offset+3] & 0xff)otp = binary % (10 ** self.codeDigits)return str(otp).rjust(self.codeDigits, '0')

Python实现

import binasciiimport hmacfrom hashlib import sha256class TOTP:  def __init__(self, key, codeDigits): self.key = key self.codeDigits = codeDigits def truncate(self, tc): tc = tc.rjust(16,'0') bigint = binascii.unhexlify(hex(int('10'+tc, 16))[2:]) msg = bigint[1:len(bigint)] h = hmac.new(self.key.encode(), msg, sha256).digest() offset = h[len(h)-1] & 0xf binary = (h[offset] & 0x7f) << 24 binary = binary | ((h[offset+1] & 0xff)<<16) binary = binary | ((h[offset+2] & 0xff)<<8) binary = binary | (h[offset+3] & 0xff) otp = binary % (10 ** self.codeDigits) return str(otp).rjust(self.codeDigits, '0')			def tc(self, ttl): return format(int(int(time.time())/int(ttl)),'x').upper()

上面的代码就是我基于python3的实现（可以保存为totp.py），散列算法使用的是SHA-256，使用方式如下：

import base64import totpsecretKey = base64.b32encode(‘My secret key‘)t = totp.TOTP(secretKey, 4)time = t.tc(60) # 此处时间单位为秒result=t.truncate(time)print(resut)