0

Всем привет. Делаю систему аутентификации на Laravel через SMS. Планирую такой алгоритм:

  1. Человек в первой форме регистрации вводит лишь свое имя и телефон
  2. Контроллер проверяет, есть ли такой номер телефона в БД, если нет, то идем дальше
  3. Генерируем 6-значный код для подтверждения телефона, через сторонний API отсылаем смску на телефон, а также сохраняем данный код в сессию пользователя.
  4. На фронте показываем ему следующий экран, т.е. форму ввода кода подтверждения.
  5. Человек вводит код, он зарегистрирован (дальше все действия понятны

По этому алгоритму есть несколько вопросов:

  1. Правильно ли в пункте 3 сохранять код в сессию пользователя? Или же лучше сделать таблицу в БД с кодами подтверждения, где будут поля "номер телефона-код-действителен до"?
  2. Как предотвратить действия злоумышленников (смс-ки платные, поэтому может быть плохо)? Какие есть методы защиты от сброса сессии через очистку браузера и отправки кода подтверждения заново?
1
  • Сохраняете в базу: номер, код и дату отправки. При последующем запросе на отправку сообщения - сверяете дату. 24 фев 2018 в 15:19

1 ответ 1

2

Делать аутентификацию через смс на этапе регистрации (как в п.1 вопроса) смысла нет. Что это вам даёт? Боты вам в лёгкую сольют любой бюджет смс-шлюза (если кому-то это будет надо) за одни сутки регистраций.

Задача много-уровневой аутентификации подтвердить, что в данный момент в личный кабинет заходит именно хозяин аккаунта.

Процесс регистрации логичнее закрывать рекапчами. Вот при попытке входа уже зарегистрированного пользователя пусть вылетает ему на встречу смс с кодом подтверждения. Такой подход обезопасит как хозяина аккаунта от несанкционированного доступа, так и вас от злонамеренных действий, если вдруг у вас зарегистрируется бот с живым номером телефона, и начнёт безостановочно запрашивать смс.

1
  • Спасибо за ответ! Мне нужна не 2-FA, а именно регистрация по телефону. Т.е. как это сделано, к примеру, на юле, в телеграм и т.д., то есть чтобы у человека от регистрации до момента покупки был лишь 1 шаг. 24 фев 2018 в 23:59

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.