1. 01粘贴 Base32 密钥，或完整 otpauth:// URI；后者会自动拆出 secret、issuer、account、digits、period、algorithm。
2. 02选择验证码位数、周期和算法；默认兼容多数验证器的 6 位/30 秒/SHA-1。
3. 03查看当前验证码、剩余秒数和下一个验证码。
4. 04可生成 160-bit 随机密钥，或复制 URI/密钥并下载二维码。

• 实现是基于时间计数器的 TOTP；底层复用 HOTP 计算函数，但页面没有“手工递增计数器”的 HOTP 模式。
• Base32 必须能被本地解析器接受；无效字符或 URI 参数会报错。
• TOTP 依赖设备系统时间，时钟偏差会导致与服务器验证码不一致；工具不联网校时。
• 二维码由应用内 qrcode 库在 canvas 生成，其中包含完整 secret；下载或分享二维码等同于分享密钥。
• issuer/account 进入 otpauth URI，仅用于验证器标签；验证码密码学结果主要由 secret、时间、位数、周期和算法决定。
• 这是敏感凭据工具；即使本页不上传，也不应在不信任设备上输入生产账户密钥。

密钥与验证码只在浏览器内存计算，使用 WebCrypto HMAC；实现明确不写本地存储、不发送服务器，刷新页面即清空。