如何开发两步验证功能

article/2025/10/6 14:38:47

什么是两步验证

两步验证，是指用户登录账户的时候，除了要输入用户名和密码，还要求用户输入一个动态密码，为帐户添加了一层额外保护。这个动态密码要么是专门的硬件，要么由用户手机APP提供。即使入侵者窃取了用户密码，也会因不能使用用户手机而无法登录帐户。许多游戏客户端和网银采用这种方式。以银行为例，当用户进行转账操作时，第一步输入6位取款密码，第二步输入动态密码器上数字，这个密码器是开户时银行提供的硬件。

动态密码原理

客户端和服务器事先协商好一个密钥K，用于一次性密码的生成过程，此密钥不被任何第三方所知道。此外，客户端和服务器各有一个计数器C，并且事先将计数值同步。进行验证时，客户端对密钥和计数器的组合(K,C)使用HMAC（Hash-based Message Authentication Code）算法计算一次性密码，公式如下：HOTP(K,C) = Truncate(HMAC-SHA-1(K,C))上面采用了HMAC-SHA-1，当然也可以使用HMAC-MD5等。HMAC算法得出的值位数比较多，不方便用户输入，因此需要截断（Truncate）成为一组不太长十进制数（例如6位）。计算完成之后客户端计数器C计数值加1。用户将这一组十进制数输入并且提交之后，服务器端同样的计算，并且与用户提交的数值比较，如果相同，则验证通过，服务器端将计数值C增加1。如果不相同，则验证失败。

业务流程

如何开发这个功能呢？我们先理清它的流程：

第一步：输入常规帐号密码，验证成功后进入二次验证页面。
第二步：二次验证页面要求用户输入动态密码，用户手机必须先通过APP绑定帐号后才能获取动态密码，APP推荐eagle2fa。
第三步：页面生成二维码，内容是URI地址otpauth://totp/账号?secret=密钥，用eagle2fa扫码后绑定帐号，把密钥保存在客户端，如下图所示：
第四步：输入APP上的6位数字，验证通过进入用户中心页面。
最重要的功能是生成二维码和验证动态密码。

组件选型

googleauth是Google Authenticator的开源实现

    <dependency><groupId>com.warrenstrange</groupId><artifactId>googleauth</artifactId><version>1.1.2</version></dependency>

zxing用于生成二维码图片

    <dependency><groupId>com.google.zxing</groupId><artifactId>javase</artifactId><version>3.3.3</version></dependency>

也可以使用其他网站提供的的WEB API，譬如：

http://qr.liantu.com/api.php?text=x
x必须用UTF8编码格式，x内容出现&符号时用%26代替，换行符使用%0A

关键代码

以下代码演示怎么使用GoogleAuthenticator包：

    private static final GoogleAuthenticator googleAuthenticator = new GoogleAuthenticator();/*** 由于只是演示，dao没有操作数据库，真实的场景必然要持久化*/@Autowiredprivate UserDao userDao;@PostConstructpublic void init() {googleAuthenticator.setCredentialRepository(new ICredentialRepository() {@Overridepublic String getSecretKey(String userName) {//根据帐号查询secretKeyreturn userDao.getSecretKey(userName);}@Overridepublic void saveUserCredentials(String userName, String secretKey, int validationCode, List<Integer> scratchCodes) {//secretKey要保存在数据库中userDao.saveUserCredentials(userName, secretKey);}});log.info("GoogleAuthenticator初始化成功");}

以下代码是生成二维码，uri的格式不能写错。

    // 必须按照这个格式，APP才能正常绑定private static final String KEY_FORMAT = "otpauth://totp/%s?secret=%s";/*** 生成二维码链接*/private String getQrUrl(String username) {//每次调用createCredentials都会生成新的secretKeyGoogleAuthenticatorKey key = googleAuthenticator.createCredentials(username);log.info("username={},secretKey={}", username, key.getKey());return String.format(KEY_FORMAT, username, key.getKey());}

以下是二次验证方法：

    // 验证动态密码  username 帐号, code  app上的6位数字public boolean validCode(String username, int code) {return googleAuthenticator.authorizeUser(username, code);}