asp.net-mvc-5 - 单次使用后如何使两因素身份验证 token 过期

Question

我实现了两因素身份验证，但按照本教程

https://docs.microsoft.com/en-us/aspnet/identity/overview/features-api/two-factor-authentication-using-sms-and-email-with-aspnet-identity

我想让代码在单次使用后过期。

现在，用户在到期时间(设置为 5 分钟)完成期间收到相同的代码。有没有办法让代码一次性使用？我找不到关于这个主题的任何内容。

Answer 1

tutorial that you linked to里有一条说明说的是:

The 2FA codes are generated using Time-based One-time Password Algorithm and codes are valid for six minutes. If you take more than six minutes to enter the code, you'll get an Invalid code error message.

所以，使用这种方法，你不能让代码在用户之后过期。

作为补充，您可以保留已使用的代码存储，并在验证代码之前检查该存储。您可以允许代码在 6 分钟后从该商店过期，这是它们的自然过期时间，但同时使用它们来拒绝第二次身份验证。

或者，您可以选择避免使用 TOTP 方法并生成一个随机代码，在发送 SMS 或电子邮件之前针对您的用户存储该代码。然后，您可以在用户对其进行身份验证时检查该代码，并在此时删除或使该代码无效。使用 TOTP 意味着您可以扩展此 2FA 以使用基于身份验证器应用程序的流程进行身份验证，这比 SMS 或电子邮件更安全。