双因子认证，TOTP动态口令认证

介绍

TOTP：Time-based One-Time Password写，基于对称密钥与时间戳算法的一次性认证码。 时间同步，基于客户端的动态口令和动态口令验证服务器的时间比对，默认每30秒产生一个新口令，要求客户端和服务器能够十分精确的保持正确的时钟，客户端和服务端基于时间计算的动态口令才能一致。
算法安全的核心在于密钥 , 每个人通过对应账户生成的密钥是不同的 . 当他们用同一个算法加密时 , 会生成不同的随机密码，认证时客户端需要使用阿里身份宝，Goole 身份验证器等工具生成认证码。

totp认证java代码实现

public class OptUtil {

    private OptUtil() {}

    /** 生成32位的otp密钥 */
    @SneakyThrows
    public static String generateSecretKey() {
        SecureRandom sr = SecureRandom.getInstance("SHA1PRNG");

        sr.setSeed(Base64.decodeBase64("b5rpa6kcdux2fpq0tkrt2wwsqeqmho0d"));
        byte[] buffer = sr.generateSeed(20);
        Base32 codec = new Base32();
        return codec.encodeToString(buffer);
    }

    /** 校验 opt code */
    public static boolean checkCode(String secret, int code) {
        Base32 codec = new Base32();
        byte[] decodedKey = codec.decode(secret);
        long nowInSeconds = System.currentTimeMillis() / 1000L;
        //考虑到网络延迟，预留1秒钟容错
        for (int i = 0; i < 2; i++) {
            long time = (nowInSeconds - i) / 30L;
            int hash = verifyCode(decodedKey, time);
            if (hash == code) {
                return true;
            }
        }
        //Opt校验不通过
        return false;
    }

    @SneakyThrows
    private static int verifyCode(byte[] key, long t) {
        byte[] data = new byte[8];
        long value = t;
        for (int i = 8; i-- > 0; value >>>= 8) {
            data[i] = (byte) value;
        }

        final String algorithm = "HmacSHA1";
        SecretKeySpec signKey = new SecretKeySpec(key, algorithm);
        Mac mac = Mac.getInstance(algorithm);
        mac.init(signKey);
        byte[] hash = mac.doFinal(data);
        int offset = hash[20 - 1] & 0xF;

        long truncatedHash = 0;
        for (int i = 0; i < 4; ++i) {
            truncatedHash <<= 8;
            truncatedHash |= (hash[offset + i] & 0xFF);
        }
        truncatedHash &= 0x7FFFFFFF;
        truncatedHash %= 1000000;
        return (int) truncatedHash;
    }
}

生成totp密钥绑定二维码

• 添加依赖

<dependency>
	<groupId>com.google.zxinggroupId>
	<artifactId>coreartifactId>
	<version>3.3.3version>
dependency>

• 二维码生成代码

/**
 * @description 生成二维码工具
 */
public class QrCodeUtil {

    private QrCodeUtil() { }

    /**
     * @description: 生成一个普通的黑白二维码
     * @param content 二维码内容
     * @param width 生成图片矿都
     * @param height 生成图片高度
     * @return 二维码图片字节流
     **/
    public static byte[] drawQrCode(String content, int width, int height) throws WriterException, IOException {
        MultiFormatWriter multiFormatWriter = new MultiFormatWriter();
        BitMatrix bitMatrix = multiFormatWriter.encode(content, BarcodeFormat.QR_CODE, width, height, new HashMap<>() {

            private static final long serialVersionUID = 1L;

            {
                put(EncodeHintType.ERROR_CORRECTION, ErrorCorrectionLevel.H);
                put(EncodeHintType.CHARACTER_SET, "UTF-8");
                put(EncodeHintType.MARGIN, 0);
            }
        });
        BufferedImage image = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
        // 开始利用二维码数据图片，分别设为黑（0xFFFFFFFF）白（0xFF000000）两色
        for (int x = 0; x < width; x++) {
            for (int y = 0; y < height; y++) {
                image.setRGB(x, y, bitMatrix.get(x, y) ? 0xFF000000 : 0xFFFFFFFF);
            }
        }
        image.flush();

        //分配13Kb
        ByteArrayOutputStream outputStream = new ByteArrayOutputStream(13312);
        ImageIO.write(image, "png", outputStream);

        return outputStream.toByteArray();
    }
}

• 新增接口生成base64绑定二维码图片数据

/** 生成密钥绑定二维码 */
@GetMapping(path = "/img/zx")
@SneakyThrows
public String keyZxImg(){
    String key = OptUtil.generateSecretKey();

    final String QRCODE_TEMPLATE = "otpauth://totp/xxx:{0}?secret={1}&issuer={2}";
    String content = MessageFormat.format(QRCODE_TEMPLATE, "user@app", key, "DAS_TOTP");
    byte[] contents = QrCodeUtil.drawQrCode(content, 320, 320);

    return Base64.getEncoder().encodeToString(contents);
}

客户端使用类似阿里身份宝等工具扫描“密钥绑定二维码”接口生成的base64编码图片即可绑定密钥

totp认证码校验

/** 使用opt验证码登录 */
@GetMapping(path = "/check")
public boolean login(@RequestParam int optCode){
    return OptUtil.checkCode(key_cache, optCode);
}