AWS Amplify Cognito搭配Angular获取短版TOTP手动设置码的方法

你当前通过Auth.setupTOTP()拿到的52字符长字符串，本质是符合RFC 6238标准的 otpauth URI 完整编码串，长度长是因为内嵌了应用名称、用户标识、算法参数、密钥本身的冗余信息，并不是TOTP共享密钥本身的长度超标。
正常来说，用户手动配置Authenticator工具时，只需要输入URI中secret=参数对应的纯Base32编码密钥段，不需要输入整个URI串。

方案1：无侵入提取纯密钥，减少70%冗余长度 #

现有流程不需要改造核心逻辑，直接解析Auth.setupTOTP()返回的URI串：

• 按照URI解析规则拆分参数，提取secret=字段对应的值，这个值就是Cognito生成的原始TOTP共享密钥，没有任何冗余信息。
• Cognito默认生成的密钥是128位（16字节）随机值，对应Base32编码后长度约26个字符，比原52字符的URI长度缩短一半。
• 展示时可以通过正则每4个字符插入视觉分隔（比如空格），将长串拆分为多组短块，大幅降低手动输入的认知负担。

方案2：自定义短密钥生成，将手动输入长度压到16字符级别 #

Amplify的Auth.setupTOTP()底层调用的是Cognito AssociateSoftwareToken接口，该接口支持传入自定义的TOTP共享密钥，不需要强制使用Cognito自动生成的长密钥，可以完全自己控制密钥长度：

• 按照Base32字符集（仅支持大写A-Z、数字2-7）生成16个随机字符作为自定义密钥，对应总熵值为80位，满足NIST SP 800-63B要求的TOTP密钥最低64位熵的安全标准，不存在合规风险。
• 调用接口时将自定义的短密钥作为参数传入，Cognito会将该密钥绑定到对应用户的MFA配置流程中，后续的TOTP动态码校验逻辑完全不受影响。
• 用传入的短密钥拼接生成标准otpauth URI，用于生成二维码展示；同时将拆分为4组（每组4字符）的短密钥展示在手动输入区域，用户手动输入的负担和输入常见的16位WiFi密码基本一致，完全不需要依赖跨设备剪贴板传输，适配桌面端配置、手机端作为认证载体的典型场景。

• 不要为了追求更短的长度，使用不符合Base32规范的密钥格式，Google Authenticator、Authy等主流MFA工具仅支持Base32编码的共享密钥，格式不对会导致用户输入后无法生成有效动态验证码。
• 密钥长度不要低于13个Base32字符，低于该长度的密钥总熵值不足64位，容易被暴力破解，无法通过基本的安全合规校验。
• 无需强求将密钥长度压到10个字符以内，实际体验上，拆分为视觉块的16字符密钥，输入效率远高于无分隔的52字符完整URI，配合输入框自动格式化（用户输入时自动按每4个字符插入分隔符）的UI优化，完全可以覆盖跨设备手动配置的场景需求。

内容的提问来源于stack exchange，提问作者cbp