TOTP 使用哪个时间？

Question

我正在尝试为我的 Web 应用程序实施基于时间的一次性密码，但我遇到了一些问题。我正在使用 Google 的 Android 应用程序“Google Authenticator”对其进行测试，但我无法获得成功登录的相同代码。在深入研究了算法之后，我发现，服务器上的时间应该和手机上的时间一样。所以我开始考虑我的服务器时钟。它必须是本地时间的用户还是UTC或类似的东西。我在任何地方都找不到。

Answer 1

因此，正确答案似乎是 UTC 时间。经过一些更深入的研究，我将我的服务器时间与 UTC 同步，它开始工作了。

Answer 2

身份验证应用实际上在应用本身中接收时间同步。所以它应该与谷歌服务器时间相同。但是它可以使用本地电话时间，因此您可能应该尝试再次同步它。这不会改变您手机的时间，只会改变应用程序的时间校正。

为了确保您在客户端（电话）上的时间正确：

1. 转到 Google Authenticator 应用的主菜单
2. 点击设置
3. 点击代码时间校正
4. 点击立即同步

（来源：https://support.google.com/accounts/answer/185834?hl=en#sync）