使用random_int()生成安全验证码，结合Redis存储并用阿里云SDK发送，通过比对用户输入与存储的验证码完成验证，并采取限流、图形验证码等措施防止恶意刷取。
短信验证码在PHP开发中主要用于用户注册、登录、找回密码等场景，目的是验证用户身份的真实性。实现的核心在于生成随机验证码，发送到用户手机，并验证用户输入是否正确。
生成随机验证码并发送，然后验证用户输入是否匹配。
如何在PHP中生成一个安全的随机验证码？
生成安全的随机验证码，不能简单地使用rand()函数，因为它容易被预测。推荐使用以下方法：
-
使用
random_int()函数： 这是PHP7引入的函数，可以生成加密安全的随机整数。立即学习“PHP免费学习笔记（深入）”；
function generateVerificationCode($length = 6) { $min = pow(10, $length - 1); $max = pow(10, $length) - 1; return random_int($min, $max); } $code = generateVerificationCode(); echo $code; -
结合数字和字母： 如果需要更复杂的验证码，可以结合数字和字母。
function generateAlphanumericCode($length = 6) { $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'; $code = ''; $max = strlen($characters) - 1; for ($i = 0; $i < $length; $i++) { $code .= $characters[random_int(0, $max)]; } return $code; } $code = generateAlphanumericCode(); echo $code; -
存储验证码： 生成的验证码需要存储起来，以便后续验证。 通常会存储在Session、Redis或者数据库中。 推荐使用Redis，因为它的读写速度快，适合高并发场景。
session_start(); $_SESSION['verification_code'] = $code; // 存储在Session中
或者使用Redis:
$redis = new Redis(); $redis->connect('127.0.0.1', 6379); $redis->setex('phone_number', 600, $code); // 存储在Redis中，有效期600秒
如何使用第三方短信服务发送验证码？
发送短信验证码需要使用第三方短信服务，比如阿里云短信、腾讯云短信、或者其他短信服务商。 这里以阿里云短信为例，介绍如何使用他们的SDK发送验证码。
-
安装SDK： 使用Composer安装阿里云短信SDK。
composer require aliyuncs/dysmsapi
-
编写发送短信代码：
require_once 'vendor/autoload.php'; // 引入Composer的自动加载 use Aliyun\Core\Config; use Aliyun\Core\Profile\DefaultProfile; use Aliyun\Core\DefaultAcsClient; use Aliyun\Api\Sms\Request\V20170525\SendSmsRequest; Config::load(); // 加载配置 function sendSms($phoneNumber, $code) { $accessKeyId = "your_access_key_id"; // 你的Access Key ID $accessKeySecret = "your_access_key_secret"; // 你的Access Key Secret $regionId = "cn-hangzhou"; // 阿里云Region ID $profile = DefaultProfile::getProfile($regionId, $accessKeyId, $accessKeySecret); DefaultProfile::addEndpoint($regionId, $regionId, "Dysmsapi", "dysmsapi.aliyuncs.com"); $acsClient = new DefaultAcsClient($profile); $request = new SendSmsRequest(); $request->setPhoneNumbers($phoneNumber); // 接收短信的手机号码 $request->setSignName("你的签名"); // 短信签名 $request->setTemplateCode("SMS_你的模板CODE"); // 短信模板CODE $request->setTemplateParam(array("code" => $code)); // 模板参数 $acsResponse = $acsClient->getAcsResponse($request); return $acsResponse; } $phoneNumber = "13800138000"; // 用户的手机号码 $code = generateVerificationCode(); $response = sendSms($phoneNumber, $code); print_r($response);注意： 需要替换
your_access_key_id、your_access_key_secret、你的签名、SMS_你的模板CODE为你在阿里云短信控制台中申请的真实信息。
如何验证用户输入的验证码是否正确？
验证用户输入的验证码，需要从Session、Redis或者数据库中取出之前存储的验证码，然后和用户输入的进行比较。
session_start(); // 如果使用Session
$userInputCode = $_POST['verification_code']; // 用户输入的验证码
// 从Session中获取验证码
$storedCode = $_SESSION['verification_code'];
// 从Redis中获取验证码
$redis = new Redis();
$redis->connect('127.0.0.1', 6379);
$storedCode = $redis->get('phone_number');
if ($userInputCode == $storedCode) {
// 验证码正确
echo "验证码正确";
// 清除验证码
unset($_SESSION['verification_code']); // 如果使用Session
$redis->del('phone_number'); // 如果使用Redis
} else {
// 验证码错误
echo "验证码错误";
}重要提示： 验证成功后，一定要清除Session或Redis中存储的验证码，防止被重复使用。
如何防止短信接口被恶意刷取？
防止短信接口被恶意刷取，需要采取以下措施：
限制IP访问频率： 同一个IP地址，在一定时间内，只能发送一定数量的短信。
图形验证码： 在发送短信验证码之前，先让用户输入图形验证码，增加机器识别的难度。
手机号码限制： 同一个手机号码，在一定时间内，只能发送一定数量的短信。
增加短信发送间隔： 每次发送短信验证码，需要间隔一定时间，比如60秒。
使用HTTPS： 确保所有的请求都使用HTTPS协议，防止被中间人攻击。
如何处理短信发送失败的情况？
短信发送可能会因为各种原因失败，比如手机号码错误、欠费、或者短信服务商的服务器故障。 需要对发送失败的情况进行处理，比如记录日志，或者提示用户稍后重试。
$response = sendSms($phoneNumber, $code);
if ($response->Code == 'OK') {
// 发送成功
echo "发送成功";
} else {
// 发送失败
echo "发送失败：".$response->Message;
// 记录日志
error_log("短信发送失败：".$response->Message);
}注意： 不同的短信服务商，返回的格式可能不一样，需要根据具体的服务商文档进行处理。
