企业官网建设流程全解析

notp实战案例：构建安全的两步验证系统完整指南

【免费下载链接】notpNode One Time Password library, supports HOTP, TOTP and works with Google Authenticator项目地址: https://gitcode.com/gh_mirrors/no/notp

在当今数字化时代，账号安全面临着越来越多的挑战，两步验证（2FA）已成为保护用户账户的重要防线。notp作为一款轻量级的Node.js一次性密码库，完美支持HOTP（基于计数器的一次性密码）和TOTP（基于时间的一次性密码）标准，能与Google Authenticator等主流认证工具无缝配合，为你的应用快速构建安全可靠的两步验证系统。

为什么选择notp？打造简单高效的安全屏障 🛡️

notp凭借其零依赖、快速集成和完全合规的特性，成为开发者实现两步验证的理想选择。它不仅遵循RFC 4226（HOTP）和RFC 6238（TOTP）标准，还能与Google Authenticator等免费认证应用（支持iOS、Android和BlackBerry）兼容，让用户轻松使用手机进行二次验证。

核心优势一览：

• 轻量高效：无任何外部依赖，安装包体积小，性能优异
• 标准兼容：严格遵循HOTP和TOTP规范，确保跨平台兼容性
• 易于集成：简洁的API设计，几分钟即可完成集成
• 安全可靠：经过实战检验的密码生成与验证逻辑

快速上手：notp安装与基础使用

一键安装步骤 ⚡

通过npm即可快速安装notp：

npm install notp

最简单的TOTP验证示例

以下是一个基础的TOTP验证流程，展示如何使用notp验证用户提供的一次性密码：

var notp = require('notp'); // 用户密钥（通常存储在数据库中） var key = 'secret key for user... could be stored in DB'; // 用户输入的一次性验证码 var token = 'user supplied one time use token'; // 验证TOTP令牌（HOTP验证使用notp.hotp.verify） var login = notp.totp.verify(token, key); // 验证结果处理 if (!login) { console.log('Token invalid'); } else { console.log('Token valid, sync value is %s', login.delta); }

深度集成：与Google Authenticator配合使用

Google Authenticator要求密钥必须经过base32编码才能使用，包括手动输入应用和生成QR码URI的场景。我们可以使用thirty-two模块来处理base32编码。

生成Google Authenticator兼容的密钥

var base32 = require('thirty-two'); var key = 'secret key for the user'; // 对密钥进行base32编码 var encoded = base32.encode(key); // Google Authenticator不喜欢等号，需要移除 var encodedForGoogle = encoded.toString().replace(/=/g,''); // 创建QR码URI（TOTP类型，如需HOTP请修改为hotp） var uri = 'otpauth://totp/somelabel?secret=' + encodedForGoogle;

注意：如果标签（label）包含空格或其他无效URI字符，需要使用encodeURIComponent进行编码。更多关于URI格式的细节可以参考Google Authenticator官方文档。

实战案例：完整的TOTP生成与验证流程

1. TOTP生成示例（examples/TOTP.js）

var notp = require('../index'), t2 = require('thirty-two'), K = '12345678901234567890', b32 = t2.encode(K); console.log('Getting current counter value for K = 12345678901234567890'); console.log('This has a base32 value of ' + b32); console.log('The base32 value should be entered in the Google Authenticator App'); console.log(''); console.log('Open the following URL for a QR code. Google Authenticator can read this QR code using your phone\'s camera:'); console.log('http://qrcode.kaywa.com/img.php?s=8&d=' + encodeURIComponent('otpauth://totp/notp@example.com?secret=' + b32)); console.log('The current TOTP value is ' + notp.totp.gen(K, {}));

2. TOTP验证示例（examples/TOTP-verify.js）

var notp = require('../index'), t2 = require('thirty-two'), K = '12345678901234567890', b32 = t2.encode(K); console.log('Click on this link to gennerate a QR code, and use Google Authenticator on your phone to read it:'); console.log('http://qrcode.kaywa.com/img.php?s=8&d=' + encodeURIComponent('otpauth://totp/notp@example.com?secret=' + b32)); verify(); function verify() { ask('Enter a code to verify', function(code) { if(notp.totp.verify(code, K, {})) { console.log('Success!!!'); } console.log(notp.totp.verify(code, K, {})); verify(); }); } function ask(question, callback) { var stdin = process.stdin, stdout = process.stdout; stdin.resume(); stdout.write(question + ": "); stdin.once('data', function(data) { data = data.toString().trim(); callback(data); }); }

notp核心API详解

HOTP相关方法

hotp.verify(token, key, opt)

验证基于计数器的一次性密码（HOTP）是否有效。

• 返回值：如果令牌无效，返回null；如果有效，返回包含delta（客户端与服务器计数器偏差）的对象。
• opt参数：
  • window：允许的计数器偏差范围，默认50
  • counter：计数器值（需应用程序按用户跟踪和递增）

hotp.gen(key, opt)

生成基于计数器的一次性密码（HOTP）。

• opt参数：
  • counter：计数器值（需应用程序按用户存储和递增）

TOTP相关方法

totp.verify(token, key, opt)

验证基于时间的一次性密码（TOTP）是否有效。

• 返回值：如果令牌无效，返回null；如果有效，返回包含delta（时间偏差）的对象。
• opt参数：
  • window：允许的时间窗口偏差，默认6（30秒/窗口 × 6 = 3分钟）
  • time：时间步长（秒），默认30

totp.gen(key, opt)

生成基于时间的一次性密码（TOTP）。

• opt参数：
  • time：时间步长（秒），默认30

从1.x迁移到2.x：重要变更说明

如果你正在从notp 1.x版本迁移到2.x，需要注意以下重要变更：

移除的功能

• encBase32和decBase32方法已移除，推荐使用thirty-two模块进行base32编解码。

API变更

所有API从回调式改为直接返回值，函数参数也进行了调整：

• notp.checkHOTP(args, err, cb)→notp.hotp.verify(token, key, opt)
• notp.checkTOTP(args, err, cb)→notp.totp.verify(token, key, opt)
• notp.getHOTP(args, err, cb)→notp.hotp.gen(key, opt)
• notp.getTOTP(args, err, cb)→notp.totp.gen(key, opt)

参数名称变更

• K→ 直接作为函数参数传递（key）
• P→ 直接作为函数参数传递（token）
• W→window
• C→counter
• T→time

总结：为你的应用添加强大的安全保障

notp作为一款简单高效的一次性密码库，为开发者提供了构建两步验证系统的完美解决方案。通过本文的指南，你已经了解了notp的安装、基础使用、与Google Authenticator的集成方法以及核心API的详细说明。

无论是保护用户账户安全，还是满足企业级应用的安全需求，notp都能以其轻量、高效和可靠的特性，帮助你轻松实现强大的两步验证功能。立即通过以下命令获取notp，为你的应用添加一道坚实的安全屏障吧！

git clone https://gitcode.com/gh_mirrors/no/notp

让我们一起构建更安全的数字世界！ 🔒✨

【免费下载链接】notpNode One Time Password library, supports HOTP, TOTP and works with Google Authenticator项目地址: https://gitcode.com/gh_mirrors/no/notp