Est-il sûr de stocker la vérification dans la session lors de la vérification par SMS en php ?

Question

Est-il sûr de stocker la vérification dans la session lors de la vérification par SMS en php ?

Cache de base de données de session

Quel est le meilleur endroit pour le stocker

Answer 1

Base de données. Plusieurs contraintes doivent être prises en compte pour le code de vérification SMS : 1. Le même numéro de téléphone mobile ne peut pas recevoir de messages SMS dans un certain nombre de secondes. 2. La même IP ne peut pas être appelée plusieurs fois dans un même laps de temps. Pour des raisons de sécurité, vous pouvez le faire. vous devez également ajouter des messages SMS dans la journée. Il ne peut pas y avoir plus d'un certain nombre d'éléments. Il est donc préférable d’utiliser une base de données pour implémenter ces contraintes. La session ne fonctionne définitivement pas. Remarque : Ajoutez un code de vérification graphique, sinon l'interface sera vulnérable aux attaques.

Answer 2

Il est recommandé de l'utiliser dans le cache, comme redis memcached
Les performances du cache sont bien meilleures que celles de DB

.

Answer 3

Sûr, car la session est sur le serveur et ne peut pas être vue par le client. Quant à la méthode de stockage de la session, vous pouvez utiliser par défaut la session fichier, vous pouvez stocker la session dans la base de données, vous pouvez également utiliser la mémoire pour stockez-le, comme le redis memcache mentionné ci-dessus, ou vous pouvez l'utiliser sous Linux, vous pouvez utiliser un cache écrit par vous-même. Il ne peut y avoir qu'une seule efficacité et un seul coût. Le coût d'utilisation du cache est élevé, mais le coût d'utilisation du cache est élevé. l'efficacité de l'utilisation de la base de données est faible

Mais en fait, très peu d'entreprises le font désormais elles-mêmes, et elles font toutes appel à des tiers. Pour les sites Web à faible trafic, les tiers sont plus rentables. Pour les sites Web à fort trafic, cet argent vous manque-t-il encore ?

Answer 4

La sécurité est relative. Si vous pouvez garantir que le serveur peut détecter que le cookie a été falsifié, cela peut être réalisé grâce à des signatures dynamiques. La signature dynamique peut être un hachage de valeur, de clé et d'heure. Le serveur vérifiera alors la signature dynamique. Cependant, il est généralement plus pratique d'utiliser un cache tel que redis pour implémenter ce scénario commercial. Il n'est pas recommandé d'utiliser session. L'événement d'expiration de session ne peut pas être facilement contrôlé par le cache.