ASP.NET Core TOTP生成与验证时间偏差问题咨询

问题背景 #

我正在研究ASP.NET Core生成TOTP（基于时间的一次性密码）的机制。查看Rfc6238AuthenticationService实现代码发现，默认令牌有效期为3分钟，但实际验证时4分钟后令牌仍可通过。
代码第111行注释提到“允许前后不超过9分钟的偏差”，但第119行循环范围是-2到2，对应5个时间步长的令牌，与9分钟不符。现咨询两个问题：

1. 注释中的9分钟数值来源及特殊性是什么？
2. currentTimeStep以ticks为单位，+2是增加2个时间步长，为何注释表述为9分钟？

1. 9分钟数值的来源与特殊性 #

这个9分钟是ASP.NET Core早期版本的遗留表述，本身没有特殊的RFC规范依据：

• ASP.NET Core自定义的TOTP默认时间步长为3分钟（区别于RFC6238推荐的30秒）；
• 早期版本的代码中，验证时允许的时间步长偏差范围是-3到+3，对应单向9分钟（3步×3分钟/步）的偏移量，注释就是基于这个逻辑写的；
• 后续版本为了提升安全性，将偏差范围收紧到-2到+2（对应单向6分钟偏移），但注释未同步更新，导致了文档与代码的不一致。

2. +2步长为何注释写9分钟 #

核心原因是注释未随代码逻辑更新：

• 当前代码中+2对应的是向前偏移2个时间步长，也就是6分钟（2×3分钟/步），加上向后偏移的2步，总覆盖范围是12分钟；
• 注释里的9分钟是早期+3步长对应的偏移量（3×3分钟/步），属于未及时修正的历史遗留内容，和当前代码逻辑不匹配。

内容的提问来源于stack exchange，提问作者Jay