短信密碼原理與應(yīng)用

時間：2022-02-14 08:00:01 | 來源：信息時代

時間：2022-02-14 08:00:01 來源：信息時代

系統(tǒng)原理

短信密碼驗(yàn)證系統(tǒng)是通過SMS（短信）將一次性密碼發(fā)送到用戶手機(jī)中，用戶以此作為登陸、支付、查詢環(huán)節(jié)的密碼認(rèn)證或者公用場所上網(wǎng)依據(jù)。主要有短信密碼生成模塊、短信密碼驗(yàn)證模塊以及短信密碼管理服務(wù)模塊組成。其中短信密碼生成模塊負(fù)責(zé)接收應(yīng)用系統(tǒng)短信密碼生產(chǎn)請求、實(shí)現(xiàn)對短信密碼生成算法的封裝，并根據(jù)不同賬號、手機(jī)號等信息生成與時間關(guān)聯(lián)的唯一密碼；短信密碼驗(yàn)證模塊負(fù)責(zé)與各種應(yīng)用系統(tǒng)的短信密碼認(rèn)證對接，實(shí)現(xiàn)短信密碼的驗(yàn)證算法封裝，并為應(yīng)用系統(tǒng)返回驗(yàn)證結(jié)果，認(rèn)證邏輯中間件可擴(kuò)展、可定制，具有高穩(wěn)定性和高并發(fā)性；短信密碼管理服務(wù)是指對短信密碼生命周期中狀態(tài)的管理，包括短信密碼的啟用、作廢等狀態(tài)管理功能。

流程介紹

以網(wǎng)上銀行跨行轉(zhuǎn)賬超過限額后短信驗(yàn)證業(yè)務(wù)為例，說明短信驗(yàn)證碼生成以及驗(yàn)證流程。

(1)客戶登錄網(wǎng)上銀行系統(tǒng)，選擇跨行轉(zhuǎn)賬業(yè)務(wù)，輸入轉(zhuǎn)賬賬號、交易金額后，網(wǎng)上銀行系統(tǒng)判斷交易金額是否超過轉(zhuǎn)賬短信驗(yàn)證指定限額；若超過限額，網(wǎng)上銀行系統(tǒng)向第三方短信驗(yàn)證碼認(rèn)證系統(tǒng)發(fā)送短信密碼生成請求；

(2)第三方短信驗(yàn)證碼認(rèn)證系統(tǒng)接收短信驗(yàn)證碼生成請求后，通過短信驗(yàn)證碼生成模塊生成短信驗(yàn)證碼，并把驗(yàn)證碼保存于數(shù)據(jù)庫中，然后再通過接口方式利用短信平臺將驗(yàn)證碼發(fā)送至客戶手機(jī)號碼上；

(3)網(wǎng)上銀行系統(tǒng)根據(jù)轉(zhuǎn)賬業(yè)務(wù)請求，獲取客戶輸入的短信驗(yàn)證碼后，向第三方短信驗(yàn)證碼認(rèn)證系統(tǒng)發(fā)送短信驗(yàn)證請求；

(4)第三方短信驗(yàn)證碼認(rèn)證系統(tǒng)獲取驗(yàn)證請求后，通過短信驗(yàn)證碼驗(yàn)證模塊完成短信驗(yàn)證碼的合法性驗(yàn)證，并把結(jié)果返回給網(wǎng)上銀行系統(tǒng)；

(5)網(wǎng)上銀行系統(tǒng)獲取驗(yàn)證結(jié)果，驗(yàn)證通過后發(fā)起跨行轉(zhuǎn)賬業(yè)務(wù)請求，否則業(yè)務(wù)結(jié)束。

方案分析

該方案引入了短信密碼驗(yàn)證系統(tǒng)，該系統(tǒng)與使用短信驗(yàn)證服務(wù)的應(yīng)用系統(tǒng)物理上和邏輯上獨(dú)立，應(yīng)用系統(tǒng)僅負(fù)責(zé)業(yè)務(wù)邏輯處理，當(dāng)應(yīng)用系統(tǒng)需要進(jìn)行短信驗(yàn)證服務(wù)時通過應(yīng)用系統(tǒng)與第三方短信驗(yàn)證系統(tǒng)之間的接口實(shí)現(xiàn)短信驗(yàn)證碼的生成以及短信驗(yàn)證碼的驗(yàn)證；第三方短信驗(yàn)證系統(tǒng)負(fù)責(zé)短信驗(yàn)證碼的生成、驗(yàn)證，并通過接口方式與短信平臺交互實(shí)現(xiàn)短信驗(yàn)證碼的發(fā)送。

優(yōu)點(diǎn)：

(1)系統(tǒng)安全性高。短信驗(yàn)證碼生成、驗(yàn)證與應(yīng)用系統(tǒng)獨(dú)立，驗(yàn)證碼生成算法相對復(fù)雜、周密，在隨機(jī)驗(yàn)證碼重復(fù)率檢測等方面更完善，短信驗(yàn)證碼不容易被盜用。

(2)后續(xù)開發(fā)工作量小。通過建立第三方短信驗(yàn)證碼認(rèn)證系統(tǒng)，將短信驗(yàn)證碼的生成、驗(yàn)證以及驗(yàn)證碼狀態(tài)管理服務(wù)獨(dú)立于業(yè)務(wù)系統(tǒng)，今后新增短信認(rèn)證渠道時使用短信驗(yàn)證碼認(rèn)證服務(wù)的應(yīng)用系統(tǒng)可以直接調(diào)用第三方短信認(rèn)證系統(tǒng)接口，減少二次開發(fā)工作量。

缺點(diǎn)：關(guān)聯(lián)系統(tǒng)較多，短信生成和驗(yàn)證的系統(tǒng)間交互流程復(fù)雜，容易產(chǎn)生異常。