TOTP#

首先，我们需要了解TOTP（Time-Based One-Time Password）这种验证码的原理，它是一种基于时间的一次性密码算法，可以用于验证用户身份。其原理是使用一个密钥和一个时间戳来生成一个一次性密码，每次生成的时间戳都会不同，因此可以保证验证码的唯一性和安全性。

大概思路为，我们先获取当前的时间戳timeWindow 然后将email和timeWindow拼接成一个字符串，使用HMAC-SHA256算法对这个字符串进行签名，最后将签名结果的前codeLength个字符作为验证码。

function getCurrentTimeWindow() {
  const timestamp = new Date().getTime();
  return Math.floor(timestamp / 600000);
}

async function genCodeWithTimeWindow(email, timeWindow) {
  // 添加 HMAC-SHA256 签名
  const secretKey = process.env.SECRET || "your-secret-key"; // 替换成你的密钥

  const hmac = crypto.createHmac("sha256", secretKey);
  const newStr = `${email}-${timeWindow}`;
  hmac.update(newStr);
  const signature = hmac.digest("hex"); // 将签名转为 16 进制字符串
  const code = signature.slice(0, 7); // 截取前 codeLength 个字符作为验证码
  return code;
}

async function genCode(email) {
  const timeWindow = getCurrentTimeWindow();
  const code = await genCodeWithTimeWindow(email, timeWindow);
  const expiration = new Date((timeWindow + 2) * 600000);
  const timeLimit = formatDateTime(expiration);
  console.log("验证码:", code);
  return {
    code,
    expiration,
    timeLimit,
  };
}

检验验证码#

既然我们要注册那么肯定要检验验证码是否正确呢，但正如标题一种无状态的验证码，既然无状态我们又该怎么实现呢？不妨先看下述代码

async function checkCode(email, code) {
  const timeWindow = getCurrentTimeWindow();

  const codes = await Promise.all([
    genCodeWithTimeWindow(email, timeWindow),
    genCodeWithTimeWindow(email, timeWindow - 1),
  ]);
  console.log(codes);
  if (codes.includes(code)) {
    console.log("验证码正确");
    return true;
  }
  console.log("验证码错误");
  return false;
}

不知道大家发现没，在上面我们获取当前时间时使用的getCurrentTimeWindow函数返回的是Math.floor(timestamp / 600000)是当前的时间戳除以600000， 也就是10分钟。剩下的时间戳结果的每个1就代表10分钟，也就是说getCurrentTimeWindow让基本单位从原来的1毫秒变成了10分钟

回归正题，checkCode里面我们重现基于现在的时间计算了timeWindow和timeWindow - 1调用genCodeWithTimeWindow函数生成的验证码，最后判断code是否在codes数组中，如果在则说明验证码正确，否则验证码错误。

bakptr: 同时，为了防止类似于 TOTP 的”卡点过期”： 比如现在时间戳是 1721284009，设置有效期为 10 秒，计算得到时间窗口号 1721284009 / 10 = 172128400 1 秒后，时间窗口号变为 172128401，TOTP 失效，那么此时生成的 TOTP 也就只有 1 秒的有效期。 可以让服务端验证有效性的时候，往前多计算一个时间窗口，算出来两个验证码，二者任一相等即可，这样就保证了验证码有效期始终大于一个时间窗口的长度。

这也就解释了为什么我们要用两个时间节点区计算而不是一个