| 检查点 | 熵、尝试限制、有效期、场景绑定、一次性 |
|---|---|
| 方法 | 对照清单核查实现与日志 |
| 修复 | 服务端生成与校验，绑定手机号+场景+时间窗 |
核查清单
核查清单
长度与生成方式（是否可预测/序列化）
校验失败次数限制与验证码作废策略
有效期（常见 5-10 分钟）与重发频率
与手机号、业务场景绑定；校验成功后立即作废仅在自有测试账号上触发验证码，避免骚扰真实用户。
验证码（OTP）安全设计检查
短信/邮件验证码的设计核查：长度与随机性、有效期、尝试次数、场景绑定、一次性与重放防护。
易错点
- 用真实手机号连续触发验证码，造成骚扰与费用
- 忽略校验成功后可重复使用的问题
数据来源与参考
- OWASP Authentication Cheat Sheet
- OWASP ASVS V2