TOTP验证码生成器 - 在线2FA动态口令

生成 2FA 验证码的 TOTP 生成器

这款 TOTP 生成器能把 Base32 密钥转换成与身份验证器 App 完全一致的基于时间动态验证码，每 30 秒或 60 秒刷新一个新的 2FA 验证码。它专为开发者、测试人员，以及任何需要凭密钥直接拿到可用 TOTP 验证码、又不想掏出手机的人打造。

TOTP（基于时间的一次性密码，定义于 RFC 6238）正是 Google Authenticator、Authy 和 Microsoft Authenticator 背后的标准。粘贴密钥或 otpauth:// URL、上传身份验证器二维码图片，还能保存多个账户，一键生成验证码。

隐私优先设计：每个验证码都通过 Web Crypto API 在你的浏览器中计算。你的密钥绝不会发送到服务器，已保存的账户也只存在于浏览器的本地存储中。

如何生成 TOTP 验证码

输入密钥

在密钥输入框中键入或粘贴一个 Base32 密钥（例如 JBSWY3DPEHPK3PXP）。验证码会自动生成——空格、连字符和 = 补位字符都会自动去除。

或导入 URL 或二维码

粘贴完整的 otpauth://totp/... URL 即可自动填好全部设置，或点击 上传二维码 解码身份验证器二维码图片。发行方、账户、算法、位数和周期都会被自动解析。

匹配各项设置

设置算法（SHA-1、SHA-256 或 SHA-512）、位数（6 位或 8 位）和周期（30 秒或 60 秒），使其与你要配对的服务一致。

复制并保存

在倒计时结束前，用 复制验证码 把当前验证码复制到剪贴板。点击保存将账户存到本地，下次一键加载它的验证码。

功能特点

三种哈希算法

可用 SHA-1（默认且兼容性最好）、SHA-256 或 SHA-512 生成验证码，适配各类服务。

可配置位数与周期

在 6 位或 8 位验证码、30 秒或 60 秒周期之间切换，契合服务的设置方式。

实时倒计时

进度条跟踪剩余时间，剩 33% 时变黄色，最后 5 秒变红色。

下一个验证码预览

即将生效的验证码始终显示在当前验证码下方，让快要过期的验证码不再坑你。

otpauth:// URL 解析

粘贴标准的 otpauth:// URL，一步提取密钥、发行方、账户、算法、位数和周期。

二维码导入与导出

解码 TOTP 二维码图片以载入密钥，或生成可扫描的二维码，把它迁移到手机身份验证器。

多账户管理

在浏览器中保存多个账户，点击任意一个即可立即载入它的密钥并生成验证码。

就地重命名

用笔形图标或双击名称即可重命名已保存的账户——无需另开编辑界面。

密钥显示切换

一键隐藏或显示密钥，并可随时把实时验证码复制到剪贴板。

纯客户端运行

所有生成都通过 Web Crypto API 在本地完成。密钥绝不上传，已保存的账户只留在本设备上。

常见问题

什么是 TOTP？

TOTP 是「基于时间的一次性密码」的简称。它把一个共享密钥与当前时间通过 HMAC 哈希结合起来，生成一个每 30 秒或 60 秒变化一次的短验证码。由于服务器和你的设备共享同一个密钥与时钟，它们能各自独立地算出一致的验证码——无需任何网络请求。该机制定义于 RFC 6238。

如何用密钥生成 TOTP 验证码？

把你的 Base32 密钥粘贴到密钥输入框，验证码会立即出现。如果你的设置与默认值不同，调整算法、位数和周期使其与服务一致即可。你也可以粘贴 otpauth:// URL 或上传二维码图片，让全部设置自动填好。

TOTP 密钥是什么？应该是什么格式？

密钥是你在某个服务上开启 2FA 时它给你的共享值。它应采用 Base32 编码——即字母 A–Z 和数字 2–7。本工具会自动去除空格和 = 补位字符。如果你手头只有二维码或 otpauth:// 链接，直接导入它即可，密钥会自动提取出来。

TOTP 验证码有效期多久？

默认每个验证码有效 30 秒，部分服务采用 60 秒周期。倒计时进度条会精确显示剩余时间，剩 33% 时变黄色，最后 5 秒变红色。下一个验证码会在下方预览，所以你可以稍等片刻，而不必跟时间赛跑。

我该选择哪种算法？

SHA-1 是默认且支持最广的选项——大多数服务（Google、GitHub、AWS）都使用 SHA-1，配 6 位验证码和 30 秒周期。只有当你要配对的服务明确要求时，才切换到 SHA-256 或 SHA-512。导入 otpauth:// URL 会为你设好正确的算法。

为什么我的验证码和服务期望的不一致？

TOTP 依赖准确的时间，所以如果你的设备时钟偏差超过几秒，验证码就对不上——请确保系统时间已同步。还要确认算法、位数和周期与服务所用的一致。其中任何一项不匹配，都会算出看似有效却错误的验证码。

在线 TOTP 生成器用起来安全吗？

在这里，所有计算都完全通过 Web Crypto API 在你的浏览器中进行——你的密钥绝不会传输到任何服务器，已保存的账户也只存在于本浏览器的本地存储中。话虽如此，请把任何密钥都当作密码来对待：日常 2FA 仍建议使用专门的手机身份验证器，因为本工具更适合开发、测试或用作备用验证码生成器。

TOTP 和 HOTP 有什么区别？

TOTP 基于时间，生成的验证码每 30 秒或 60 秒变化一次。HOTP 基于计数器，其值在每次使用时递增。TOTP 更常见，因为它的验证码会自动过期，从而降低重放攻击的风险。本工具仅支持 TOTP。

我保存的账户会被备份吗？

已保存的账户存放在浏览器的本地存储中。它们会在多次会话间保留，但不会同步到任何云端，所以清除浏览器数据会将其删除。可使用 显示二维码 把重要的密钥导出为可扫描的二维码图片，留作备份。