OpenHarmony如何防止验证码滥用

OpenHarmony验证码防滥用实践

一 分层防护策略

• 在端侧与网关侧同时治理，形成多层防线：
  • 频率与阈值控制：对同一手机号/账号/设备/IP的验证码申请与校验设置冷却时间与最大尝试次数，触发阈值后自动升级校验（如从短信验证码升级为图形/滑块/无感验证）。
  • 行为风控：基于设备指纹、行为特征（滑动轨迹、输入节奏）、访问频率等进行风险评分，高风险场景强制二次校验。
  • 验证码形态分级：低风险用无感验证，中高风险用滑动/点选，超高风险阻断或人工复核。
  • 时效与一次性：验证码设置短有效期（如120秒）并一次性使用，服务端严格校验随机数/令牌防止重放。
  • 安全传输与存储：全链路HTTPS/TLS，验证码及令牌仅存于服务端内存/短期缓存，不在客户端持久化。
  • 监控与处置：对异常指标（失败率、频度、地域漂移、设备聚集）设告警阈值并自动触发黑名单/限流/图形化挑战。

二 端侧与网关侧落地做法

• 端侧（OpenHarmony ArkUI/ArkTS）
  • 输入安全：验证码输入组件建议自绘并限制为纯数字、禁止复制/粘贴/选中、限制长度，避免自动化脚本注入与社工输入错误。可基于 @ohos.inputMethod 的 attach/detach 与 insertText/deleteLeft 事件实现安全输入与键盘控制。
  • 触发策略：登录/注册等敏感操作前先本地评估风险（失败计数、频率），超过阈值再弹出滑块/点选/无感挑战；挑战成功后携带一次性token再发起业务请求。
  • 第三方验证码集成：可选集成顶象验证码 SDK，前端完成交互获取token，后端校验token合法性后再执行登录逻辑，兼顾体验与安全。
• 网关/服务端
  • 严格校验：校验手机号/账号/设备/时间戳/随机数/签名与token一次性；验证码错误计数与冷却时间在服务端维护，防止绕过。
  • 频控与黑白名单：基于IP/设备指纹/账号的滑动窗口限流；异常来源自动拉黑并触发更强校验。
  • 联动升级：连续失败触发图形/滑块/无感；高风险来源直接拒绝或转人工复核。

三 使用系统短信验证码的正确姿势

• 使用 AGC 认证服务 申请与校验短信验证码，天然具备发送频率限制与服务端校验能力，适合“手机号+验证码”登录/注册/改号等场景。
• 关键配置要点：
  • 申请验证码时设置发送间隔（如60秒），避免短信轰炸；
  • 登录时用 PhoneAuthProvider.credentialWithVerifyCode 创建凭证，再调用 AGConnectAuth.signIn 完成登录；
  • 全流程由服务端校验验证码与请求合法性，客户端不保留验证码明文。

四 快速接入示例

• 短信验证码（AGC）
  • 申请验证码：设置 action、语言与发送间隔（如60秒），调用 requestPhoneVerifyCode；
  • 登录：使用 credentialWithVerifyCode 生成凭证并 signIn；服务端完成校验与账号创建/登录逻辑。
• 第三方滑块/无感验证码（顶象）
  • 前端：初始化 CaptchaView（传入 AppID），调用 startToLoad，在回调拿到成功token后关闭弹窗并携带 token 请求业务登录接口；
  • 后端：校验 token 合法性后再执行登录/注册，失败计数与频控由服务端统一治理。

五 常见误区与排查

• 仅在前端做频控或倒计时，容易被绕过；务必在服务端维护计数、冷却与黑名单。
• 验证码有效期过长或可复用，易引发重放；应设置短时效与一次性校验。
• 忽视传输安全与日志泄露；全链路 HTTPS，敏感日志脱敏或不落库。
• 设备信息单一、无行为特征；结合设备指纹+行为特征做动态挑战升级。
• 验证码输入可被脚本填充；使用受限输入组件并限制复制/粘贴/选中，提升自动化攻击成本。