Всем привет. Делаю систему аутентификации на Laravel через SMS. Планирую такой алгоритм:
- Человек в первой форме регистрации вводит лишь свое имя и телефон
- Контроллер проверяет, есть ли такой номер телефона в БД, если нет, то идем дальше
- Генерируем 6-значный код для подтверждения телефона, через сторонний API отсылаем смску на телефон, а также сохраняем данный код в сессию пользователя.
- На фронте показываем ему следующий экран, т.е. форму ввода кода подтверждения.
- Человек вводит код, он зарегистрирован (дальше все действия понятны
По этому алгоритму есть несколько вопросов:
- Правильно ли в пункте 3 сохранять код в сессию пользователя? Или же лучше сделать таблицу в БД с кодами подтверждения, где будут поля "номер телефона-код-действителен до"?
- Как предотвратить действия злоумышленников (смс-ки платные, поэтому может быть плохо)? Какие есть методы защиты от сброса сессии через очистку браузера и отправки кода подтверждения заново?