公司内网登录要输一串32位的十六进制字符，手机App扫码后提示‘请手动输入密钥’，路由器后台启用双因素验证时跳出一个base32编码的密钥——这些场景里提到的‘密钥’，就是网络认证令牌（如TOTP）背后真正的种子（Secret Key）。
为什么需要手动输入密钥？
不是所有设备都支持扫码。比如老款Windows电脑没摄像头，或者你用的是命令行环境、嵌入式终端，又或者企业安全策略禁用了二维码扫描功能。这时候，系统就会把密钥以文本形式展示出来，让你‘手敲进去’。
注意：这个密钥不是密码，也不是动态口令本身，而是生成每30秒刷新一次口令的原始依据。一旦输错一位，后续所有口令全对不上。
密钥长啥样？别被吓到
常见格式有两类：
• Base32 编码（最常见）：ABCD2EFGHIJK3MNOPQ4RSTUV5WXYZ6（长度通常为16或32字符，只含大写字母A-Z和数字2-7）
• Hex（十六进制）：a1b2c3d4e5f67890a1b2c3d4e5f67890（长度32或40，纯小写/大写a-f+0-9）
它不会包含 0（零）、O（大写字母O）、I（大写i）、l（小写L）等易混淆字符——这是Base32规范刻意避开的。
手动输入时最容易踩的坑
• 复制粘贴时带了前后空格（尤其从PDF或网页复制）；
• 把字母 O 当成数字 0，把 I 当成 1；
• 区分大小写没注意（Base32是全大写，Hex通常是小写，但部分系统也接受混合）；
• 输入框自动过滤了某些字符（比如把 + 或 / 删掉——不过TOTP密钥一般不用这些符号）。
试试这个小技巧：边读边输
把密钥按每4位一组拆开，大声念出来再敲：ABCD 2EFG HIJK 3MNO PQ4R STUV 5WXY Z6。比盯着一长串瞎敲准确率高得多。
验证是否输对了？看第一个口令
输完保存后，马上打开你的认证App（比如Google Authenticator、Microsoft Authenticator 或 Authy），找到对应条目，记下它显示的第一个6位数字（比如 728419）。回到网站或设备的验证页面，输入这个数字。如果通过，说明密钥没错；如果不通，别急着重试，先检查密钥是否输漏或输错。
顺便提一句：有些系统会提供‘时间校准’按钮，因为TOTP依赖设备本地时间。如果你的电脑时间快了2分钟，哪怕密钥完全正确，口令也会差两轮——这时同步下系统时间比反复输密钥更管用。
附：命令行下快速校验Base32密钥（Linux/macOS）
如果你有开发经验，可以用Python快速验证密钥格式是否合法：
python3 -c "import base64; print(len(base64.b32decode('ABCD2EFGHIJK3MNOPQ4RSTUV5WXYZ6'.upper())))"输出数字（比如10）代表解码后字节长度，非报错即说明格式基本合规。