Python中基于密钥生成多因素认证OTP的异常排查

1. 密钥的Base32格式合规性问题 #

TOTP标准要求密钥采用Base32编码，且编码后的字符串长度必须是8的整数倍（不足时用=补全）。这是你遇到onetimepassword库padding错误的直接原因：

• 你的密钥ABCDEFG长度为7，不符合Base32的长度要求，需要补全为ABCDEFG=后再传入。
• 多数TOTP库（包括pyotp、onetimepassword）默认将输入的字符串视为Base32编码，若密钥是原始字节而非Base32串，需要先将其编码为Base32格式。

2. 不同库的密钥处理逻辑差异 #

各库对密钥的输入要求存在细微差别，你的代码存在以下问题：

pyotp代码修正 #

原代码中密钥长度不符合Base32规范，需补全格式：

import pyotp
totp = pyotp.TOTP('ABCDEFG=')  # 补全=使长度为8的倍数
otp = totp.now()
print(otp)

若你的原始密钥是普通字符串而非Base32编码，需先转换：

import pyotp
import base64
raw_secret = b"your_actual_raw_secret"
base32_secret = base64.b32encode(raw_secret).decode('utf-8')
totp = pyotp.TOTP(base32_secret)
print(totp.now())

otpauth代码修正 #

原代码直接传入字节串会被视为原始密钥，而非Base32编码，需解码Base32密钥：

import otpauth
import base64
base32_secret = "ABCDEF"
# 补全padding后解码为原始字节
raw_secret = base64.b32decode(base32_secret + '=' * ((8 - len(base32_secret) % 8) % 8))
totp = otpauth.TOTP(raw_secret)
code = totp.generate()
print(totp.string_code(code))

onetimepassword代码修正 #

修正密钥的Base32格式以解决padding错误：

import onetimepass as otp 
secret_key = 'ABCDEFG='  # 补全=使长度符合要求
otp_code = otp.get_totp(secret_key) 
print(otp_code)

3. 时间同步问题 #

TOTP基于30秒时间窗口生成验证码，若本地系统时间与Microsoft Authenticator所在设备的时间差超过30秒，会导致验证码不匹配：

• 检查本地系统时间是否开启自动同步，确保时间准确。
• 验证Microsoft Authenticator设备的时间设置，开启自动时间同步。

4. 密钥正确性验证 #

确保你记录的密钥与扫码绑定的otpauthURL中的secret参数完全一致：

• 扫码URL格式通常为otpauth://totp/[账户名]?secret=[Base32密钥]&issuer=[服务商]，直接提取其中的secret值作为输入。
• 避免手动记录时遗漏字符或混淆原始密钥与Base32编码后的密钥。

内容的提问来源于stack exchange，提问作者Shishank