当前位置： 首页 > article >正文

短信验证码安全需求设计

article 2025/3/31 18:31:19

背景：

近期发现部分系统再短信充值频繁，发现存在恶意消耗短信额度现象，数据库表排查，发现大量非合法用户非法调用短信接口API导致额度耗尽。由于系统当初设计存在安全缺陷，故被不法分子进行利用，造成损失。

安全设计

增加二次校验

短信接口调用添加滑块验证、或者较为复杂的验证码，加大自动化脚本攻击难度

限制访问频次

同一个手机号短时间内请求验证码次数限制（5-10/分钟1次）

数据库字段设计

增加调用短信类型、如注册调用、修改密码、消息提醒、调用IP等字段，便于后续短信使用额度总量查询

黑名单限制

对于同一个手机号或者IP调用次数过多（5-10次）对其封禁处理

接口签名

对短信接口进行签名验签，加大伪造合法请求难度

验证码与用户绑定

验证码必须与用户身份绑定，防止通用验证码

验证码不过期

验证码使用后立即过期


http://www.kler.cn/a/612499.html

相关文章：

  • C语言 【实现电脑关机小游戏】非常好玩
  • 【Zookeeper搭建】Zookeeper分布式集群搭建完整指南
  • git中feature跟hotfix是什么意思
  • Python定时任务的高效实现：精准触发mutoubar()方法
  • Golang Beego SQL链式查询（包含Join关联）
  • 使用 Docker 18 安装 Eureka：解决新版本 Docker 不支持的问题
  • 【漫话机器学习系列】159.单位阶跃激活函数（Unit-Step Activation Function）
  • UE学习记录part9
  • FALL靶场通关攻略
  • AutoDev 2.0 正式发布：智能体 x 开源生态，AI 自动开发新标杆
  • 如何快速对比两个不同的excel文件中的单元格的数据是否完全相同 并把不同的单元格的背景颜色更改为红色？
  • 如何设置合适的请求频率避免被封禁？
  • MySQL 优化详解：从基础到高级全面指南
  • 2024年VR市场回顾与2025年AR + AI智能眼镜展望
  • Android 13深度定制：揭秘类MIUI全面屏手势返回动效的架构级实现
  • C# 固高板卡（总线型） 操作类
  • Go 语言规范学习（2）
  • 在shell脚本内部获取该脚本所在目录的绝对路径
  • dbeaver连接mongodb 插入日期变成了字符串
  • Kotlin when 表达式完全指南：从基础到高级的12种实战用法