Ochrana proti opakovaniu

Po prijatí TOTP kódu sa jeho časový krok zaberie jedinou operáciou check-and-set. Každý kód s časovým krokom rovnakým alebo starším než posledný úspešný sa odmietne a vyvolá sa TwoFactorReplayDetected s daným krokom — dve súbežné odoslania toho istého kódu teda nemôžu uspieť obe. Zaberá sa aj kód použitý na potvrdenie aktivácie.

Výber guardu

// config/two-factor.php
'replay_guard' => 'cache',   // 'column' | 'cache' | 'none' (null → none)
'cache' => [
    'store' => env('TWO_FACTOR_CACHE_STORE'),
    'ttl' => 60 * 60 * 24,
],

Ak na viacuzlovom hostingu zvolíte cache guard, použite atomický store, napríklad Redis alebo databázu.

Upozornenie pri cache guarde

Vyprázdnenie alebo vyradenie cache (cache:clear, deploy, tlak LRU) zmaže posledný použitý časový krok a na chvíľu znova otvorí okno pre opakovanie. Ak je toto riziko neprijateľné, použite predvolený guard column, ktorý ukladá krok do tabuľky účtu.

Vlastný guard

Ak chcete časové kroky ukladať inde, zaregistrujte vlastnú implementáciu kontraktu ReplayGuard:

// The contract — RoundlyConsulting\TwoFactor\Contracts\ReplayGuard
interface ReplayGuard
{
    // The latest recorded timestep (null when none yet).
    public function latestTimestep(TwoFactorAuthenticatable&Model $user): ?int;

    // Atomic check-and-set: true when newly claimed, false on a replay.
    public function claim(TwoFactorAuthenticatable&Model $user, int $timestep): bool;
}

// In a service provider's register():
$this->app->singleton(ReplayGuard::class, fn () => new MyReplayGuard);