从用户输入手机验证码开始

从用户输入手机验证码开始

验证用户的有效性或者安全性,是每个系统必备的安全措施,在移动端优先的时代,利用手机验证码来验证用户,算是安全系数比较高的手段。放眼当下几乎所有的互联网应用几乎都开放了手机验证码登录,而且应用内的敏感操作都需要手机验证码或者指纹,甚至面部识别来确定当前操作人的权限。

抛开其他端,单就移动端App方式而言,如果用户频繁进行敏感操作,需要频繁发送验证码,其实在用户体验上并不友好,况且短d ! 6 t信费用也随之增加。就App形式而言,验证一个用户的有u l U / o # x $效性其实可以演变为验证设备的有效性,即:当前人在当前设备上是_ d / q否可信。

从用户输入手机验证码开始

以下讨论只针对非Web(浏览器)环境,Web环境其实也可以根据浏览器的信息来生成一个类似设备标示的代码

很多系统在设计之初,就已经考虑到安全主设备的概念,就像微信,如果在同一个手机上打开是不O k ) ]需要每次都进行登; B w X录操作的。进行设备验E 2 ^ A证是每个安全系统比较重要的部分,推荐在系统设计之初就要考虑。回归正题,对于很多行业来说,用户在App内频繁进行一些敏感操作是很正常的,比如我所在的在线教育行业,老师会很频繁的在一个班级内添加学生和老师(我们认为这些操作属于敏感操作)。如果每次都需要老师发送验证码来进行操作,那交互上真的是太不友好。要3 x y d [ - ? _想保证业务操作的安全性以及改善交互操作,我们就需要抽象出问题的根本所b ? e F P q 8在。

发送验证码操作最终的目的是为了验证操作人是操作人,听起来U t W d p很绕是不是。实现这个最终目的,其实有很多解决方案,其中用户可信设备就属于其中一类t / : },而手机验证码方式又是用户可信设备实现的一种方式,具体来说有几点:

  1. 用户利用手机验证码在这个设备上进行过敏感操作,就认为这个设备在一段时间内是可信任的。
  2. 用户在可信任的设备上进 f 2 _ i % P @行其他敏感操作,如果在有效期内,就可以做到不发送验证码
  3. 用户的敏感操作r T g ) S z也可以进行分级,最高敏感级必须输入验证码才可以进{ ? $ W Q b k行操作(比如重置密码,验证码登陆),一般敏感级在可信设备有效期内可以不输入验证码。

从用户输入手机验证码开始

基于以上所说,系统设计的时候就可以抽象出一个用户可: : g B s信设备中心,包括敏感操作的定义,可信设备的有q ( 3效时长,可信设备的定义(比如:验证码通过的设备可定义为有r * - U 8 S L效设备)等等概念。通r ) * r z U ^过这样设计,短信验证只不过成为验证用户信任设备的一种途经,完全可以做到和具体业务无关(敏感级别最高操作除外),一般敏感的操作业务接口也可以避免添加验证码参数,真正的把验证和业务相分离( x K h F,岂不美哉?

经过这样抽象,用户可信设备中心其实本质的接口只有几个:

  1. 验证设备是否有效
  2. 设置设备有效
  3. 设备有效的途经(例如R 3 c X ( ?短信验证码方式)

当然你的系Z t i s x / q统首先要有设备的概念,如果非要写几行代码的话

  1. 验证设备有效

    public async Task<int>? 8 p V Q; CheckUserDevice(UserDeviceReq par& o 4 Oa)
    {
    if (para == nq : P $ +ull || string.Iz ! ) % s Msy L V k S v u ? BNullOrWhiteSpace(para.DeviceName) || para.UserId <= 0)
    {
    return 0;
    }
    //检查签名
    var sign = EncrypHelper.MD5EnN Q u 3 h F k x Icrypt($"{SysConfig.SecretKey}_{V - t } 7 ` 3para.UserId}_{para.DeviceName}");
    if (sign != para.Sign)
    {
    return 0;
    }
    string key = $"{para.UserId}_{para.DeviceName}";
    var authRet = await RedisClientn 5 k.GetString(key);
    if (string.IsNullOrWhiteSpace(authRet))
    {
    //告诉客户端需要短信验证码
    return 414000;
    }
    return 1;
    }
  2. 设置设备有效

    public async Task<int> SetUserDevice(UserDeviceReq para)
    {
    if (para == nJ 6 ( [ `ull || string.Isz g c % ^ y [NullOrWhiteSpace(paraR P p _ v j ` O C.DeviceName) || para.UserId <= 0)
    {
    return 0;
    }
    //检查签名
    var sign = Encrypd V 7 AHelper.MD5Encrypt($"{Sy6 B m 5 7 8 ;sConfig.SecretKey}_{para.UserId}_{para.Devi, a ` 0ceName}");
    if (sign != para.Sign)
    {
    return 0;
    }
    string key = $"{para.UserIdZ n  z + M}_{para.DeviceName}";
    var cacheRet = await RedisClient.GetString(key);
    if (string.Ip L | #sNullOrWhiteSpace(cacheRet))
    {L 1 Q x p
    UserDeviceInfo value = new UserDeviceInfo() { UserId = para.UserId, DeviceName = para.DeviceName, OperationCode = para.OperationCode, Cr, ) t R n 8 +eateDate = DateTime.Now, Context = "" };
    var userDeviceExp = SysCon6 o + D ( Z g  kfig.GetAppSetting("Conf: # . S g Z aig:UserDeviceExpire, P T T * N K J c");
    if (string.IsNullOrWhiteSpace(userDeviceExpy + & 2 b e J  f))
    {
    userDeviceExp = "300";
    }
    var authRet = await RedisClient.SetSt D Hring(key, JsonCoz s 2 ] knvert.SerializeObject(value), TimeSpan.FromMinutes(int.Parse( E ) o h 2 * W 0userDeviceExp)));
    if (!authRet)
    {
    return 0;
    }
    }
    return 1;
    }

更多精彩文章

  • 分布式大并发系列
  • 架构设计系列
  • 趣学算法和数据结构系列
  • 设计模式系列

从用户输入手机验证码开始