TOTP 是随着时间更新的一次性验证码

时间和密钥共同决定数字

TOTP 将注册时得到的秘密参数与当前时间段结合，按照双方约定的算法计算验证码。网站保存对应验证资料，因此不需要验证器每次联网向网站索取新码。

常见的刷新周期是 30 秒，但这只是常见设置而不是所有账号的唯一标准；部分服务允许不同位数和时间间隔。

验证码短，密钥长期有效

屏幕上的一串数字很快过期，并不等于拍下设置二维码没有风险。拿到共享密钥的人可能在未来的多个时间段重复生成有效验证码。

需要把注册二维码、otpauth 链接和原始密钥当作高敏感资料处理；对外截图时必须遮住。

它能降低风险，却不防所有钓鱼

攻击者可能诱导用户把刚产生的验证码输入假网站，因此启用 TOTP 后仍要检查网址与登录提示。能使用防钓鱼的通行密钥或安全密钥时，可评估是否采用。

手机时间明显不准，也会导致双方算出的时间段不同。碰到连续验证失败，先检查自动校时，避免反复修改注册密钥。

同一个数字为何会同时出现在两台设备

如果两个设备持有完全相同的共享秘密、算法参数和时间段，它们可能生成相同的数字。这里的“同步”只是计算条件一致，不代表某个账号后台向两台设备实时推送了验证码。

通常 30 秒更换一次的六位数只是最常见的界面表现。若原网站指定八位数或者其他合法周期，强行采用默认参数反而会导致验证码被拒绝。应当以源网站提供的设置为准。

TOTP 比单一静态密码多一道门槛，但有人可通过伪造登录页骗取当前号码。收到自称客服索要验证码的短信或电话时，应关闭陌生链接并返回服务官方渠道核实。

断网以后还能生成 TOTP 吗？

已经正确保存密钥并拥有准确时钟时，本地生成验证码可以不联网。向网站提交验证码通常仍需要网络。