开发一个带有API的双因素认证服务（2FA/OTP）

我们有多个网络和移动产品，不想在每个产品中从头开始重写登录保护。目标是一个单一的双因素认证服务，我们的应用可以通过API调用：注册用户，发放一次性代码，并在登录或确认敏感操作时进行验证。这故意不是一个SSO项目或OAuth委托，也不是一个短信网关包装器。我们需要OTP层：代码生成、存储、生命周期、速率限制、验证逻辑，以及围绕它的设置和恢复流程。

在验证方法上，我们需要全面支持TOTP，以便用户可以通过扫描二维码链接任何兼容的身份验证应用，并提供共享密钥和时钟偏差容忍度的端点。此外，我们需要通过短信和电子邮件发送一次性代码作为备份通道，具有可配置的代码长度、有效期和重发限制，以控制成本和滥用。每个连接的用户都会获得一组一次性备份代码，他们可以打印或保存，并且必须有一个安全的路径来重新发放和撤销，如果设备丢失。交付层使用适配器，因此可以通过配置在不更改代码的情况下更换短信或电子邮件提供商。

所有这些都通过一个文档化的REST API进行管理，具有令牌授权以供调用应用，预测的JSON响应，以及针对无效、过期或已使用令牌的清晰错误代码。安全性是产品的本质，因此我们期望在存储中进行密钥哈希、阻止暴力破解、记录验证尝试的审计日志，以及合理的默认设置。在您的回复中，请描述您在OTP或认证系统方面的经验。

— TOTP身份验证器支持（二维码问题、共享密钥、时间允许）
— 通过短信和电子邮件发送的一次性代码，具有有效期和重发限制
— 一次性备份代码的重新发放和撤销
— 文档化的REST API，具有令牌授权和清晰的错误代码
— 短信/电子邮件提供商适配器，可通过配置进行更换
— 审计日志、阻止暴力破解、存储中的密钥哈希