Основная идея
Возможно, Вашим решением будет создание в хранилище пары "ключ-значение".
В качестве ключа берется id сессии, в качестве значения - сгенерированный код.
- После отправки запроса на регистрацию/аутентификацию, клиенту для указанного номера генерируется код
- затем пара ключ-значение (id_сессии-смс_код) сохраняется и идет отправка этого кода по СМС на указанный номер.
- Пользователь его получает, вводит, далее вы сверяете введенный код со значением, лежащим по ключу сессии, и если оно верно - аутентифицируете его
После этого обязательно удаляйте эту пару, чтобы не было возможности воспользоваться ей второй раз. Вообще необходимо указывать время жизни этой пары, например, одна минута, тогда перебрать такой пароль вряд ли удастся - не хватит времени.
Хранить все это дело лучше не в базе данных, а в более подходящем для этого месте - в оперативной памяти. (можно использовать для этого memcached или тот же redis)
Потому что во-первых, быстрые мелкие запросы к хранилищу будут гораздо эффективнее,чем запросы к БД, так как первые заточены именно под это.
Во-вторых, время жизни легко указывается штатными средствами этих продуктов.
Возможные проблемы
Создавайте в качестве ключа именно сессию, а не телефон пользователя.
В случае указания телефона ключом, идет сокращение необходимых для взлома полей. Например, зная телефон пользователя, остается только подобрать код из четырех цифр. Хоть это и вряд ли получится сделать из-за времени жизни, предположим, взломщику повезло и он подобрал код с первой попытки. Тогда он войдет без проблем.
В случае же с сессией, необходимо:
- знать номер телефона
- иметь к нему доступ для получения кода
- иметь доступ к конкретному устройству, чтобы ввести этот код
Примечания
Возможно, Вам и не придется создавать такую пару ключа-значения вручную. В большинстве фреймворком можно несложно задать какой-нибудь ключ для текущей сессии.
делается это как-то типа
request.session.set('key', 'value')
а проверяется
if request.session.get('key') == value:
do_stuff
Погуглите Ваш случай. Если такая встроенная возможность имеется, то просто в качестве ключа укажите его предназначение - 'auth_code', а в качестве значения - тот самый код