如何用数据库做动态密码

创作时间:

作者:

@小白创作中心

如何用数据库做动态密码

引用

来源

https://docs.pingcode.com/baike/1876382

动态密码是一种临时有效的密码，通常只有在短时间内有效。它可以通过硬件设备、短信、App或其他方式生成和传递。相比静态密码，动态密码极大地提高了系统的安全性，因为即使密码被截获，也无法在下一次登录中使用。

动态密码可以通过时间同步、随机生成、数据库存储来实现。其中，最常见的实现方式是通过时间同步来生成一次性密码（OTP, One-Time Password）。这种方法不仅提升了安全性，还增强了用户体验和系统的灵活性。以下将详细介绍其中的“时间同步”方式。

一、动态密码的基本概念

1、动态密码的定义

动态密码，又称一次性密码，是一种临时有效的密码，通常只有在短时间内有效。动态密码可以通过硬件设备、短信、App或其他方式生成和传递。相比静态密码，动态密码极大地提高了系统的安全性，因为即使密码被截获，也无法在下一次登录中使用。

2、动态密码的应用场景

动态密码广泛应用于金融系统、在线支付、企业内部系统等需要高安全性的环境。通过动态密码，用户在每次登录时都会使用不同的密码，从而降低了密码被暴力破解或重放攻击的风险。

二、时间同步方式生成动态密码

1、时间同步的基本原理

时间同步方式依赖于服务器和客户端之间的时间同步。两者共享一个秘密密钥，并通过当前的时间戳和密钥生成一次性密码。常见的算法包括TOTP（Time-based One-Time Password）和HOTP（HMAC-based One-Time Password）。

2、TOTP算法介绍

TOTP算法是基于时间的动态密码生成算法。它使用当前时间戳和共享的秘密密钥，通过HMAC-SHA1算法生成动态密码。具体步骤如下：

获取当前时间戳，并将其转换为指定的时间步长（如30秒）。
使用共享的秘密密钥和时间步长，通过HMAC-SHA1算法生成哈希值。
将生成的哈希值截断，并转换为指定长度的数字（如6位）。

3、实现TOTP的代码示例

以下是一个使用Python实现TOTP的代码示例：

import time
import hmac
import hashlib
import base64
import struct

def get_hotp_token(secret, intervals_no):
    key = base64.b32decode(secret, True)
    msg = struct.pack(">Q", intervals_no)
    h = hmac.new(key, msg, hashlib.sha1).digest()
    o = h[19] & 15
    h = (struct.unpack(">I", h[o:o+4])[0] & 0x7fffffff) % 1000000
    return h

def get_totp_token(secret):
    return get_hotp_token(secret, int(time.time())//30)

## 示例用法
secret = 'JBSWY3DPEHPK3PXP'  # 这是一个基32编码的密钥
print(get_totp_token(secret))

三、数据库存储和验证动态密码

1、存储用户信息和密钥

在数据库中，需要存储用户的基本信息和生成动态密码所需的密钥。推荐使用加密存储密钥以确保其安全性。以下是一个MySQL数据库的示例表结构：

CREATE TABLE users (
    user_id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) NOT NULL UNIQUE,
    secret_key VARCHAR(32) NOT NULL,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);

2、验证动态密码

在用户登录时，服务器会根据数据库中存储的密钥和当前时间生成动态密码，并与用户输入的密码进行比较。以下是一个验证动态密码的Python示例：

import mysql.connector
from datetime import datetime

def verify_totp(user_input, user_id):
    conn = mysql.connector.connect(user='root', password='password', host='127.0.0.1', database='test')
    cursor = conn.cursor()
    cursor.execute("SELECT secret_key FROM users WHERE user_id = %s", (user_id,))
    result = cursor.fetchone()
    if result:
        secret_key = result[0]
        server_totp = get_totp_token(secret_key)
        return user_input == server_totp
    return False

## 示例用法
user_id = 1
user_input = int(input("请输入动态密码: "))
if verify_totp(user_input, user_id):
    print("验证成功")
else:
    print("验证失败")