Laravel中Google2FA旧OTP验证码未过期问题排查求助

我在Laravel项目里用Google2FA实现OTP验证码验证时，碰到了异常问题：部分过期的旧OTP验证码仍能通过验证，不符合预期的验证失败逻辑。具体表现为：旧验证码325 620验证失败（符合预期），但另一个旧验证码412 650却能验证通过（不符合预期），只有当前验证码441 225验证通过是正常的。

我的Blade视图代码如下：

<div class="form-group">
    @if($errors->any())
        <b style="color: red">{{$errors->first()}}</b><br>
    @endif
    <label for="one_time_password" class="col-md-4 control-label">Masukkan Kode OTP</label>
        <div class="col-md-12">
            <input id="one_time_password" type="number" class="form-control text-center" name="one_time_password" minLength="6" maxLength="6" required autofocus>
        </div>
</div>

可能的原因及解决办法 #

1. Google2FA时间窗口范围过宽 #

Google2FA默认允许前后各1个时间窗口（每个窗口30秒）的验证码通过，也就是总共3个时间窗口的验证码都能验证成功。如果服务器与用户设备时间偏差较大，或者窗口范围设置过宽，就会导致旧验证码误判为有效。

• 解决：验证时手动限制窗口范围为仅当前窗口，示例代码：

// $secret为用户的Google2FA密钥，$otp为用户输入的验证码
$valid = Google2FA::verifyKey($secret, $otp, 0); // 第三个参数设为0，只允许当前时间窗口的验证码通过

2. 验证码输入格式化问题 #

你使用的是type="number"的输入框，用户输入带空格的验证码（比如412 650）时，浏览器会自动去除空格转为412650。如果这个无空格值刚好和某一个有效时间窗口的验证码重合，就会出现旧验证码验证通过的情况。

• 解决：
  方案一：修改输入框为type="text"，避免自动格式化：

  <input id="one_time_password" type="text" class="form-control text-center" name="one_time_password" minLength="6" maxLength="8" required autofocus>
  

  方案二：后端验证前统一处理验证码，去除所有空格：

  $otp = preg_replace('/\s+/', '', request('one_time_password'));
  

3. 服务器时间与UTC标准时间偏差 #

Google2FA的验证码生成基于UTC时间，如果服务器时间与UTC时间偏差超过30秒，会导致验证时的时间窗口错位，把旧验证码判定为有效。

• 解决：使用NTP服务校准服务器时间，确保与UTC时间保持一致。

内容的提问来源于stack exchange，提问作者Muhammad Fahmi