0

Необходимо реализовать на сайте регистрацию и авторизацию через смс. Интересует часть касающаяся логики процесса на стороне сайта.

  1. Как сделать чтобы, создание аккаунта юзера происходило после подтверждения смс? Т.е. просто создать аккаунт, а затем его активировать смс кодом не хочется, чтобы кучи аккаунтов не было. Да и если человек сразу не активирует, а потом через часа 2-3 попробует снова создать профиль, то регистрация будет выдавать ошибку о существовании данного номера в базе.
  2. Как сделать чтобы код жил определенное время, скажем 1-3 минуты?
  3. Как защитить себя от злоумышленников, которые захотят "сжечь" весь баланс путем отправки "холостых" смс?

Не знаю в какую сторону копать, делать сессии или писать в базу? если в базу, то как привязать к чему-либо, если аккаунт ещё не создан?

Или все же создавать аккаунт и потом его просто активировать, но все равно вопрос - как сделать эти смс коды временными (чтобы жили 1-3 минуты)?

2
  • просто создать аккаунт, а затем его активировать смс кодом не хочется, чтобы кучи аккаунтов не было. Установить срок жизни аккаунта без подтверждения. За час не подтверждён - считать невалидным. И удалять. Как сделать чтобы код жил определенное время, скажем 1-3 минуты? Установить срок актуальности кода. Если прошло более 3 минут - невалидный. И удалять. "сжечь" весь баланс путем отправки "холостых" смс? Фраза непонятна. Какой такой баланс?
    – Akina
    9 июл 2018 в 8:29
  • Как защитить себя от злоумышленников, которые захотят "сжечь" весь баланс путем отправки "холостых" смс? Если Вы имеете в виду СВОЙ баланс на отправку СМС - то на повторный запрос должен быть свой тайм-аут. Как раз вот хорошо указаны границы 1-3 минуты - повторный СМС отправлять не ранее чем через 1 минуту.
    – Akina
    9 июл 2018 в 8:42

2 ответа 2

2

Создайте форму регистрации с нужными полями. В ней кнопка "Получить код регистрации". По нажатию на кнопку записываете в сессию время нажатия и отправляете код регистрации на указанный номер телефона. Ждёте ввода пользователем кода регистрации в этой самой форме. При отправке заполненной формы проверяете, что код регистрации не устарел (те самые 3 минуты), что он правильный, и только после этого регистрируете пользователя на сайте.

Фразу "сжечь" весь баланс путем отправки "холостых" смс понимаю так - вы предполагаете, что на эту форму полезут боты и начнут заставлять сайт отправлять смс на самые разные номера.

Почитайте мой вопрос-ответ на эту тему: "Как защитить от ботов форму регистрации на сайте?".

3
  • Спасибо, два комментария, противоположных). Я на бумаге накидал вариант с работой в БД, слишком много проверок. Вопрос теоретический по ресурсам, что будет ресурсы сервера (хостинга) больше потреблять: одна сессия или 1-3 запроса в бд? не знаю насколько корректен вопрос, но ресурсы это важный пункт. А касательно каптчи, то надо будет искать решение без этого
    – Aaron
    10 июл 2018 в 7:59
  • Я думаю, вы переоцениваете влияние ресурсов на ваш проект. У вас будет 4000 регистраций в час? Если нет, не о чем переживать. 10 июл 2018 в 8:11
  • Без капчи - ищите, но мой вопрос-ответ по ссылке явно показал - нет иной возможности на данный момент противостоять умным ботам. Все эти honeypot не работают. 10 июл 2018 в 8:12
0

По порядку:

Как сделать чтобы, создание аккаунта юзера происходило после подтверждения смс? Т.е. просто создать аккаунт, а затем его активировать смс кодом не хочется, чтобы кучи аккаунтов не было.

Ну создайте табличку для неактивированных пользователей. И от туда будете переносить к основным (регистрировать вручную) только в функции успешного подтверждения.

Да и если человек сразу не активирует, а потом через часа 2-3 попробует снова создать профиль, то регистрация будет выдавать ошибку о существовании данного номера в базе.

Для этого мы разрешаем дубликаты логинов и номеров, уникальным ключом будет наш самый код в СМС (это надо гарантировать). При подтверждении все дубликаты из временной таблички - удаляем, а основную запись переносим к основным.

Как сделать чтобы код жил определенное время, скажем 1-3 минуты?

Добавляем поле: время регистрации (когда была создана наша запись в БД), потом при подтверждении сравниваем текущее время и из бд, смотрим разницу.

Как защитить себя от злоумышленников, которые захотят "сжечь" весь баланс путем отправки "холостых" смс?

Обычно СМСки стоят копейки, кликать в туже рекапчу вечно, чтобы сжечь ваш баланс, злоумышленникам сразу надоест. Можно поставить лимит по IP.

Не знаю в какую сторону копать, делать сессии или писать в базу? если в базу, то как привязать к чему-либо, если аккаунт ещё не создан?

Однозначно в БД

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.