我應該允許用戶同時擁有多個 TOTP 嗎？

Question

為了使我的問題更具體，我想解釋一下我的任務。

我正在嘗試實現一個負責創建 OTP（即基於時間的 OTP）的組件/服務。

注意： TOTP 是通過 SMS 發送還是發送到用戶的 email 地址並不重要。

例如，如果用戶忘記了他們的密碼並想要恢復它，我的系統必須驗證此交易，然后允許他們更改它。

另外，我將創建事務類型（可能是一個枚舉）。 這種機制將有助於區分一個 TOTP 和另一個。 例如，如果我讓用戶使用 TOTP 更改密碼，該 TOTP 是為了更改他們的 email 地址而創建的，這將是一個安全問題。

問題是，我是否應該允許每個用戶針對不同的交易類型擁有多個 TOTP？

例如，如果用戶請求 TOTP 更改他們的密碼，我是否應該允許他們請求另一個 TOTP 更改他們的 email 地址（在第一個請求之后，所以現在用戶有兩個有效的 TOTP 待使用）？

Answer 1

我認為允許用戶擁有多個同時對不同操作有效的令牌沒有問題。 只要每個令牌都被限制為授權它們打算執行的操作，並且如果不使用令牌，它們就會相應地超時。