TOTP/OTP

最常见的原因是手机和电脑的系统时间不一致。TOTP 算法依赖时间窗口（默认 30 秒），只要设备时间偏差超过几十秒，生成的码就会错位。先检查电脑系统时间是否自动同步（Windows 右键右下角时间→调整日期/时间→自动设置时间；macOS 系统偏好设置→日期与时间→自动设置）。如果手机是主力验证器，建议以手机时间为准，手动校正电脑时间后刷新页面再试。本工具纯前端运算，不涉及服务器时间，完全依赖浏览器所在系统的时钟。

密钥通常是一串 Base32 编码的字符（类似 JBSWY3DPEHPK3PXP），本工具会自动去除输入框中的空格和换行，所以粘贴时带空格没关系。大小写方面，Base32 编码不区分大小写，工具内部统一转为大写处理，因此你输入小写字母同样能正确生成验证码。唯一需要注意的是不要混入多余的特殊符号或中文，那会导致密钥解析失败。

TOTP 的标准时间步长是 30 秒，但部分服务端（如某些银行的动态口令）会配置更短步长（15 秒）或更严格的时间窗口校验。本工具严格遵循 RFC 6238，默认 30 秒步长。如果你发现码的有效期明显短于 30 秒，可能是你使用的服务端启用了「前一个窗口/后一个窗口」的宽松校验，而你的设备时间恰好处于窗口边界。建议打开系统自动时间同步，并在倒计时还剩 5 秒以上时提交验证码，避免卡边界。

完全不需要。本工具是纯前端实现（FE），所有运算——包括密钥解析、HMAC-SHA1 哈希计算、时间窗口切片——都在你的浏览器本地完成。没有任何数据被发送到任何服务器。你可以打开浏览器开发者工具的网络面板（F12 → Network）刷新页面，确认没有任何网络请求。关闭页面后所有输入数据自动消失，不留痕迹。这一点对于处理银行、邮箱等敏感服务的二步验证密钥尤其重要。

可以。本工具的核心逻辑（SHA1 + TOTP 算法）打包在单个 JavaScript 文件中，首次加载后浏览器会缓存。只要你在有网时打开过一次本页面（让缓存生效），之后断网刷新页面依然能正常工作。建议在有网时打开页面后不要关闭标签页，或者将页面添加到浏览器书签，断网时直接打开即可。如果浏览器设置了「退出时清除缓存」，则需要重新联网加载。

本工具生成的二维码内容是一个标准的 otpauth:// URI，其中包含密钥（secret）参数。如果你在生成二维码后截图或分享给他人，对方扫描该二维码确实能拿到你的密钥，从而生成相同的动态验证码。因此二维码的隐私级别等同于密钥本身：不要在公共屏幕展示、不要发给不可信的人。本工具不会记录或存储你生成的任何二维码图片，生成后请自行妥善保管。

核心算法完全一样（RFC 6238），生成的验证码理论上一致。区别在于使用场景：手机密码管理器通常把 TOTP 密钥和密码存在一起，方便自动填充但存在单点风险（手机丢了可能同时泄露密码和验证码）。本工具是独立的纯浏览器工具，适合在电脑上临时生成验证码（比如在网页登录时手机不在身边），密钥不会与任何密码管理器绑定。另外本工具不依赖任何账号系统，打开即用，隐私性更强。

首先检查密钥长度：Base32 编码的密钥长度通常是 16、26 或 32 位（不含填充符），部分服务商提供的密钥末尾可能带有等号（=）填充符，本工具支持自动去除。其次确认密钥中没有混入数字 0 和字母 O、数字 1 和字母 I/L 等易混淆字符——有些服务商生成密钥时故意避开了这些字符，但如果你手动抄写时弄混，会导致解码失败。最后，如果你是从网页直接复制密钥，注意不要复制到前后的空格或隐藏字符，建议粘贴到纯文本编辑器里看一眼再复制。