Go语言怎么实现短信验证码登录？验证码发送与过期控制-Golang-PHP中文网

应使用crypto/rand.Read生成6位真随机数字字符串：读取6字节，对10取模映射为'0'-'9'，转字符串确保前导零不丢失；Redis存储必须设5分钟TTL且用GETDEL原子校验，同时对手机号做正则校验、滑动窗口频控和黑名单过滤。

go语言怎么实现短信验证码登录？验证码发送与过期控制

短信验证码怎么生成才安全又实用

直接用 rand.Intn(10) 拼 6 位数是常见错误，它不满足密码学安全要求，容易被预测。Go 标准库的 crypto/rand 才适合生成真正随机的验证码。

用 crypto/rand.Read() 读取字节，再映射到数字字符（0–9），避免使用 math/rand
不要直接返回 int 类型的验证码值，始终以字符串形式存储和比对（防止前导零丢失）
验证码长度建议固定为 6 位，太短易暴力破解，太长影响用户体验

func generateCode() string {
    b := make([]byte, 6)
    _, _ = rand.Read(b)
    for i := range b {
        b[i] = '0' + b[i]%10
    }
    return string(b)
}

Redis 存验证码为什么必须带过期时间

不设 TTL 是最常踩的坑：用户反复请求导致 Redis 键无限堆积，内存爆满；更严重的是，旧验证码未自动失效，攻击者可能重放使用。

写入时必须用 SET key value EX 300（5 分钟），不要先 SET 再 EXPIRE，这两步非原子操作，中间若服务崩溃会导致永不过期
Go 客户端推荐用 redis.Client.Set(ctx, key, value, 5*time.Minute)，底层自动拼 EX 参数
key 命名建议含业务前缀和手机号，例如 sms:login:13800138000，避免键冲突

校验时怎么避免“时间差攻击”和并发覆盖

用户点击登录按钮多次，或网络延迟导致多个请求几乎同时到达，容易出现“验证码已用过但还没删，又被另一个请求成功校验”。

校验逻辑必须原子：用 GETDEL（Redis 6.2+）或 EVAL Lua 脚本，一次性读取并删除
Go 中用 redis.Client.GetDel(ctx, key) 最简洁；若 Redis 版本低，写 Lua：if redis.call("GET", KEYS[1]) == ARGV[1] then return redis.call("DEL", KEYS[1]) else return 0 end
不要先 Get 再 Del：中间窗口期可能被重复提交

手机号格式与发送限频怎么防刷

只校验是否为 11 位数字远远不够。真实场景中，需在发码前做三层过滤：

Go语言（Golang）1.26.0

Go语言（Golang）1.26.0版本官方下载，版本号 1.26.0，适合旧项目维护、兼容性测试和指定版本开发环境搭建。

下载

基础格式：用正则 ^1[3-9]\d{9}$ 初筛，排除明显非法号
频控：对 phone + action=login 组合，用 Redis 的 INCR + EXPIRE 实现滑动窗口，例如“1 小时内最多 5 次”
黑名单：维护一个 blacklist:phone Set，对高频异常号码临时拉黑 24 小时

真正难处理的是“同一设备反复换号轰炸”，这需要结合前端行为埋点（如页面停留时长、点击间隔）或接入风控 SDK，纯后端无法根治。

Redis 的过期策略不是实时触发，而是惰性+定期删除混合；所以不能依赖“过期即消失”来做业务判断——所有校验都必须显式检查返回值是否为空。