ASP.NET Core中Google/Microsoft Authenticator验证码过期验证问题

问题根源 #

TOTP算法依赖30秒固定时间步长生成验证码，你的服务器与手机存在15秒时差（手机更快），导致手机切换到新验证码后，服务器仍处于旧步长的有效周期内。加上默认的时间容忍度会同时验证前后多个步长，进一步延长了旧验证码的有效时间。

可行解决方案 #

1. 强制时间同步（最优解） #

让服务器和客户端手机都同步到可靠的NTP时间服务器，将时差控制在1秒以内。之后将验证的时间容忍度设为0，仅验证当前步长：

TwoFactorAuthenticator tfa = new TwoFactorAuthenticator();
bool result = tfa.ValidateTwoFactorPIN(accountSecretKey, code, TimeSpan.FromSeconds(0));

这样就能保证验证码仅在APP显示的30秒内有效，切换后立即失效。

2. 自定义验证逻辑（适配时差场景） #

如果无法强制客户端同步时间，可自定义验证逻辑，仅验证当前步长和下一个步长（不验证前一个步长），避免旧验证码在手机切换后继续有效：

public bool ValidateTfaCode(string accountSecretKey, string code)
{
    var tfa = new TwoFactorAuthenticator();
    long currentServerStep = tfa.GetCurrentStep(DateTime.UtcNow);
    
    // 验证服务器当前步长（对应手机刚切换前的验证码）
    if (tfa.GeneratePIN(accountSecretKey, currentServerStep) == code)
        return true;
    // 验证服务器下一个步长（对应手机当前显示的验证码，适配手机快的情况）
    if (tfa.GeneratePIN(accountSecretKey, currentServerStep + 1) == code)
        return true;
    
    // 不验证前一个步长，旧验证码切换后立即失效
    return false;
}

这种方式下，旧验证码在手机切换后最多还能生效15秒（服务器当前步长剩余的时间），大幅缩短了无效验证码的有效窗口，接近你的期望效果。

3. 避免过大的时间容忍度 #

不要设置超过30秒的时间容忍度，这会导致验证覆盖更多历史步长，进一步延长旧验证码的有效时间。

内容的提问来源于stack exchange，提问作者leo