2FA 动态码

POST /api/totp，请求体 {"secret":"<密钥>"}，返回 code 与 expiresAt。

curl -s https://2fa-tools.vercel.app/api/totp \
  -H 'Content-Type: application/json' \
  -d '{"secret":"JBSWY3DPEHPK3PXP"}'

接口是无状态的：密钥只走请求体（不进 URL 日志），服务端不存也不记录任何输入。 网页界面不走这个接口 —— 它在你的浏览器里直接算，密钥不出本机。