pyotp，一个无敌的 Python 库！ - 涛哥聊Python涛哥聊Python

大家好，今天为大家分享一个无敌的 Python 库 – pyotp。

Github地址：https://github.com/pyauth/pyotp

在当今的数字化时代，安全性成为了应用开发中不可或缺的一环。为了增强用户账户的安全性，多因素认证（MFA）技术被广泛应用，其中一种常见的实现方式是时间基于的一次性密码（TOTP）。Python的PyOTP库提供了一个简单易用的接口来实现TOTP，以及其他形式的一次性密码，使得开发者可以轻松地在自己的应用中加入这一重要的安全特性。

安装

PyOTP库的安装过程非常简单，只需通过pip命令即可完成安装：

pip install pyotp

这一命令会从Python包索引下载并安装最新版本的PyOTP库。

特性

时间基于的一次性密码（TOTP）: 自动根据时间变化生成密码。
计数器基于的一次性密码（HOTP）: 密码基于一个递增的计数器生成。
兼容性: 完全兼容Google Authenticator及其他基于RFC 6238和RFC 4226标准的认证系统。
易于集成: 简单的API使得集成到任何Python应用都变得轻而易举。

基本功能

生成TOTP

PyOTP可以生成时间基于的密码，这是其最常见的用法。

以下是生成和验证TOTP的基本代码示例：

import pyotp

# 生成一个TOTP对象
totp = pyotp.TOTP('JBSWY3DPEHPK3PXP')
print('当前OTP:', totp.now())

# 验证OTP
print('验证结果:', totp.verify('123456'))  # 应替换为实际OTP以测试

生成HOTP

HOTP是另一种一次性密码，基于计数器的值生成。这种类型的密码不依赖时间，适用于需要按顺序生成和验证密码的应用场景。

import pyotp

# 创建一个HOTP对象
hotp = pyotp.HOTP('JBSWY3DPEHPK3PXP')
for i in range(1, 10):
    print('OTP for event {}: {}'.format(i, hotp.at(i)))

# 验证一个HOTP
print('验证结果:', hotp.verify('123456', 1))  # 替换OTP和适当的计数器值进行验证

高级功能

PyOTP除了基础的TOTP和HOTP生成外，还提供了一些高级功能，如使用自定义时间间隔、初始时间和摘要算法等。

自定义时间间隔和初始时间

标准的TOTP算法默认每30秒生成一个新的一次性密码。然而，某些应用可能需要更长或更短的时间间隔。PyOTP允许开发者自定义这个时间间隔。

import pyotp
import time

# 创建TOTP对象，设置30秒的时间间隔
totp = pyotp.TOTP('base32secret3232', interval=30)
print('当前OTP:', totp.now())

# 创建TOTP对象，从特定的Unix时间开始计算间隔
epoch_time = time.mktime(time.strptime('2020-01-01', '%Y-%m-%d'))
totp = pyotp.TOTP('base32secret3232', interval=60, initial_time=epoch_time)
print('指定时间起的OTP:', totp.now())

在这些示例中，第一个TOTP对象使用标准的30秒间隔，而第二个示例设定了从2020年1月1日开始，每60秒更新一次OTP。

使用自定义哈希算法

PyOTP默认使用SHA1算法生成OTP，但可以选择SHA256或SHA512算法来增强安全性。

# 创建使用SHA256算法的TOTP对象
totp_sha256 = pyotp.TOTP('base32secret3232', digest=pyotp.hashes.SHA256)
print('SHA256算法生成的OTP:', totp_sha256.now())

# 创建使用SHA512算法的TOTP对象
totp_sha512 = pyotp.TOTP('base32secret3232', digest=pyotp.hashes.SHA512)
print('SHA512算法生成的OTP:', totp_sha512.now())

这些代码演示了如何根据需要选择不同的哈希算法来生成OTP。

结合二维码生成

为了方便用户将TOTP密钥添加到手机验证应用（如Google Authenticator），PyOTP可以生成二维码。

import pyotp
import qrcode

# 创建一个TOTP对象
totp = pyotp.TOTP('base32secret3232')
uri = totp.provisioning_uri(name='user@example.com', issuer_name='Secure App')

# 生成二维码
img = qrcode.make(uri)
img.show()

这段代码生成了一个包含用户信息和发行者信息的URI，然后使用qrcode库将此URI转换成二维码，用户可以扫描此二维码以快速添加到其设备。

实际应用场景

PyOTP提供的一次性密码功能使其在多种安全需求的场景中非常有用。

用户账户的二步验证

二步验证（2FA）是提高账户安全的有效方式之一。通过在用户登录过程中加入一个额外的认证步骤，即除了用户名和密码外，用户还需要提供一个从他们的手机生成的一次性密码。

import pyotp

# 假设这是用户注册时生成的密钥，存储在数据库中
secret = 'JBSWY3DPEHPK3PXP'

# 用户登录时，生成TOTP
totp = pyotp.TOTP(secret)
otp = totp.now()

# 模拟用户从手机输入这个OTP
user_provided_otp = input("Enter the OTP from your phone: ")

# 验证OTP
if totp.verify(user_provided_otp):
    print("The OTP is correct. Access granted.")
else:
    print("Invalid OTP. Access denied.")

保护API访问

API可以利用一次性密码来验证非浏览器客户端的请求，确保只有授权的客户端能访问敏感数据。

import pyotp

# API客户端初始化时生成的HOTP密钥
hotp_secret = 'BASE32SECRET3232'
counter = 1  # 这应该是服务端保存的计数器

# 客户端请求时生成OTP
hotp = pyotp.HOTP(hotp_secret)
otp = hotp.at(counter)

# 模拟API请求，包含OTP
def api_request(user_otp):
    global counter
    if hotp.verify(user_otp, counter):
        counter += 1  # 验证成功后更新计数器
        return "API Access granted."
    else:
        return "Access denied."

# 客户端请求API
response = api_request(otp)
print(response)

系统管理员的任务自动化

系统管理员可以使用PyOTP来执行需要高安全性验证的自动化任务，例如远程服务器的重启、敏感数据的备份等。

import pyotp
import os

# 管理员设置的TOTP密钥
admin_secret = 'ADMINSECRETBASE32'

def perform_sensitive_task(otp_input):
    totp = pyotp.TOTP(admin_secret)
    if totp.verify(otp_input):
        os.system("echo 'Performing sensitive task'")
        return "Task completed."
    else:
        return "Failed to verify OTP. Task aborted."

# 模拟管理员输入OTP
admin_otp = input("Please enter your OTP to perform the task: ")
result = perform_sensitive_task(admin_otp)
print(result)

总结

在本文中，详细探讨了Python PyOTP库的功能和应用。PyOTP是一个强大的库，支持生成和验证TOTP和HOTP——两种广泛使用的一次性密码。这使得它成为实现多因素认证的理想选择。介绍了如何安装库、基本使用方法、以及高级功能如自定义时间间隔、摘要算法选择和二维码生成。实际应用示例包括增强用户登录安全、保护API访问，以及系统管理员使用的任务自动化，展示了PyOTP在提高安全性方面的广泛适用性。通过这些内容，希望能帮助开发者理解和利用PyOTP来加强他们应用的安全层次。

安装

特性