楼主可否科普一点，用户的随机密钥如何保存在网站能确保安全不会被窃取？如果网站数据库被攻破，密钥也泄露，那么二次验证也就没有意义了。

感谢分享

谢谢分享

最简单直接的方法，就是身边有个懂电脑的朋友

没有绝对安全  只有相对安全而已

感谢分享！

老实说，看起来安全，只有一个密码，人脑能记住（每个人的密码都有其个人规律），唯一担心就是木马键盘记录。而二次验证码，密钥人脑无法记忆，只能保存在本机，或备份在不同地方，这样反而提高了丢失风险。
相当于一个老人家，设计一个复杂的密码，自己记不住，每次输入都要拿出纸条，对着输入。

引用

引用第3樓要用中文名於2024-09-27 10:58發表的 :
楼主可否科普一点，用户的随机密钥如何保存在网站能确保安全不会被窃取？如果网站数据库被攻破，密钥也泄露，那么二次验证也就没有意义了。

额，用户的随机密钥一般通过一个对称密钥加密后存到数据库中，比如你的随机密钥是123456这是你看到的。但保存到数据库的可能就是经过对称加密后的一个长度为32位的随机字符串。一般情况下，这个对称密钥会定时更新。所以即使攻破数据库也没什么用，除非数据库设计者缺乏安全远见，直接明文将密码123456保存到数据库里

我来给个简单版的
import pyotp

def get_variable(secret):
    # 使用提供的密钥
    secret = secret.replace(" ", "")
    # 创建基于TOTP的对象
    totp = pyotp.TOTP(secret)

    return totp.now()

支持发帖

谷歌苹果微软都在用的东西，安全性应该还可以

一脸懵逼的进来 又是一脸懵逼的出去

感谢分享

科普贴，支持了

感谢分享

刚刚二次验证通过了，确实比之前安全了 

好的,我学会了.

科普贴，支持了

感谢分享

windows的pin码也可以作为二次验证的吧，物理二次验证更安全。

1024

感谢分享，看不懂选手路过～

服务器会给你一个16位的随机密钥——这个也泄露了怎么办？

感谢分享