短信驗(yàn)證碼如今的應(yīng)用之廣無(wú)需贅述，各大銀行的網(wǎng)上銀行、各種手機(jī)APP、各種類(lèi)型的網(wǎng)站，都需要借助短信驗(yàn)證碼完成相關(guān)業(yè)務(wù)。在使用過(guò)程中，由于產(chǎn)品設(shè)計(jì)過(guò)程中防范意識(shí)薄弱，經(jīng)常會(huì)出現(xiàn)短信被惡意攻擊的事件，引起一些不必要的損失。下面我們就一起了解下短信驗(yàn)證碼產(chǎn)品設(shè)計(jì)過(guò)程中的一些注意事項(xiàng)。       短信驗(yàn)證碼被攻擊分為兩種情況，一是不法分子利用發(fā)送接口漏洞，通過(guò)不斷變換IP地址的方式偽裝成大批量手機(jī)號(hào)碼獲取驗(yàn)證，從而對(duì)企業(yè)短信費(fèi)用造成高額損失；二是不法分子只攻擊某個(gè)特定號(hào)碼，反復(fù)向同一個(gè)手機(jī)號(hào)碼發(fā)送驗(yàn)證碼，對(duì)機(jī)主形成嚴(yán)重騷擾，并可能給企業(yè)帶來(lái)投訴和處罰。

無(wú)論是出于那個(gè)目的，短信驗(yàn)證碼一旦被攻擊都會(huì)產(chǎn)生非常不良的影響，關(guān)于提高驗(yàn)證碼安全性有以下幾方面思考。

1、手機(jī)號(hào)碼限制。限制單個(gè)手機(jī)號(hào)碼每天的極限發(fā)送次數(shù)。超過(guò)次數(shù)則不能再發(fā)送短信；不過(guò)也需要謹(jǐn)慎定義該號(hào)碼的鎖定時(shí)段，需要既保障用戶(hù)真實(shí)的注冊(cè)、登錄操作不受影響，又能有效防范攻擊；

2、增加行為式驗(yàn)證碼。用戶(hù)獲取驗(yàn)證碼之前，可通過(guò)觸點(diǎn)式和拖動(dòng)式行為驗(yàn)證確保用戶(hù)真實(shí)身份，將黑客和刷機(jī)工具拒之門(mén)外；

3、設(shè)置單個(gè)IP地址某個(gè)時(shí)間段內(nèi)極限的發(fā)送量。該手段可很好的預(yù)防單一IP地址的攻擊，但是對(duì)于變換IP地址的黑客不奏效，并且很可能會(huì)因?yàn)榻鼓硞€(gè)IP形成一刀切的限制，導(dǎo)致該IP下其他用戶(hù)也無(wú)法正常獲取驗(yàn)證碼。例如，某集團(tuán)公司集體注冊(cè)某APP；

4、改變驗(yàn)證碼下發(fā)流程。先完成用戶(hù)注冊(cè)，再下發(fā)驗(yàn)證碼綁定手機(jī)，不過(guò)這樣增加了用戶(hù)的操作步驟，影響用戶(hù)體驗(yàn)的流暢度；

5、設(shè)置驗(yàn)證碼獲取間隔。限制同一個(gè)手機(jī)號(hào)碼重復(fù)發(fā)送的時(shí)間間隔，通常設(shè)置為60-120秒；

6、采用一鍵登錄與短信驗(yàn)證碼組合模式。一鍵登錄是通過(guò)運(yùn)營(yíng)商網(wǎng)關(guān)取號(hào)的方式，自動(dòng)識(shí)別用戶(hù)號(hào)碼完成核驗(yàn)，全過(guò)程采用安全系數(shù)高的非對(duì)稱(chēng)加密算法加密處理，防篡改防抓包，在安全性上有可靠保障。一鍵登錄需要用戶(hù)具備數(shù)據(jù)蜂窩網(wǎng)絡(luò)，假設(shè)在無(wú)網(wǎng)情況下，則不能完成驗(yàn)證。因而，企業(yè)可以采用一鍵登錄與短信驗(yàn)證碼組合的方式，當(dāng)一鍵登錄核驗(yàn)失敗時(shí)再切換到短信驗(yàn)證碼，盡可能的保障用戶(hù)操作的便捷性和流暢性。

7、其它發(fā)送頻次限制：針對(duì)手機(jī)號(hào)碼進(jìn)行發(fā)送限制，比如設(shè)置條件為： 次/分鐘；0次/小時(shí)；次/天；次/天(相同內(nèi)容)