Node.js中Google 2FA验证失败求助（基于speakeasy库）

问题描述 #

在Node.js中使用speakeasy库实现Google双因素认证（2FA）时，已成功生成密钥并通过二维码完成Google Authenticator绑定，但调用speakeasy.totp.verify验证OTP时，即使输入正确验证码，verified始终返回false。

生成密钥及二维码代码：

const qrcode = require('qrcode');
const secret = speakeasy.generateSecret({
    name: 'test'//constants.SPEAK_SECRET_CODE
});
var qr_data = '';
await qrcode.toDataURL(secret.otpauth_url).then(qr => {
    qr_data = qr;
});
return { qr_data };

验证OTP代码：

var verified = speakeasy.totp.verify({
    secret: secret.ascii,
    encoding: 'ascci',
    token: otp,
});

console.log(verified);

解决方法 #

• 修复拼写错误：验证代码里的encoding参数值拼写错误，'ascci'应为'ascii'，这个错误会导致密钥编码解析异常，直接引发验证失败。修正后代码：

var verified = speakeasy.totp.verify({
    secret: secret.ascii,
    encoding: 'ascii',
    token: otp,
});

• 保证密钥一致性：验证时使用的密钥必须和生成二维码时的密钥完全一致。如果是跨请求场景，需要将生成的密钥（如secret.ascii或secret.base32）持久化存储到数据库等介质中，验证时从存储中取出对应密钥，不能每次验证都重新生成新密钥。
• 检查时间同步：TOTP依赖服务器与客户端的时间同步，确保服务器系统时间准确，误差不超过30秒（TOTP默认时间步长）。若时间偏差过大，可通过设置window参数放宽容错范围（比如window: 1允许前后各一个时间步长的误差）：

var verified = speakeasy.totp.verify({
    secret: secret.ascii,
    encoding: 'ascii',
    token: otp,
    window: 1
});

内容的提问来源于stack exchange，提问作者ilyasg