什么是 TOTP？
TOTP 是根据共享密钥和当前时间计算短时有效验证码的基于时间的一次性密码算法。
英文全称、缩写与常见别名
- 英文全称： Time-based One-Time Password
- 缩写： TOTP
- 常见别名： Authenticator code、Time-based OTP、基于时间的一次性密码、身份验证器动态码
TOTP 如何工作？
身份验证器与服务器为同一时间步计算基于 HMAC 的数值，常见周期为 30 秒；服务器允许很小的时间偏差并防止验证码重放。
一个具体例子
身份验证器 App 与服务在设置时共享密钥，登录时双方独立计算当前 30 秒区间的同一个六位验证码。
TOTP 与相关概念有什么区别？
TOTP 完成注册后不依赖消息投递；短信验证 通过电话网络发送验证码，而 OTP 是更广泛的一次性密码类别。
使用场景、优势与风险
常见场景包括注册、账号恢复、交易确认和多因素验证。它可以证明用户控制某个渠道或密钥，但仍有拦截、号码回收、钓鱼、恢复流程薄弱和依赖单一因素等风险。
TOTP 与 DuoPlus 有什么关系？
用户可以在获授权的 DuoPlus 云手机中安装验证器 App 来生成 TOTP，但 TOTP 基于共享密钥和设备时间离线计算，不依赖 DuoPlus 云号码或短信。验证器的种子密钥、二维码和恢复码都属于敏感凭证，应限制访问并在独立安全位置备份。
常见问题
云手机时间不准会影响 TOTP 吗？
会。TOTP 需要设备与服务器的时间大致同步；验证码连续失效时，应先检查云手机的自动时间和时区设置，而不是重新扫描密钥。
一键新机或迁移云手机前要注意什么？
先确认验证器已按服务规则安全迁移，并在独立位置保存恢复码。若只把 TOTP 密钥留在将被重置的云手机中，可能永久失去账号访问权限。
