1

我想为我的 Web API 应用程序实现基于 OTP 的身份验证。我对 OTP 身份验证有一些想法。对于 OTP,我们生成了一个随机字母数字,我将其存储在我的数据库中。并将此 OTP 发送到用户手机。用户将提交此 OTP 并将此 OTP 与 db 进行匹配。这是正常的流程。我需要更多地保护它,这怎么可能。意味着,需要通过 sha256 对 OTP 进行哈希处理。然后我想将这个散列值存储在数据库中。到这里就好了。从下一步开始,我是否应该将此 OTP 作为纯文本发送到用户手机。然后移动客户端应用程序将此 OTP 作为纯文本传递,在服务器中散列此纯文本 OTP 并将其与 DB 进行比较?是否正确,或者不是纯文本,我是否想将 OTP 作为哈希传递给用户电话号码,是否正确,是否安全。我对此有点困惑。

请帮我。

4

0 回答 0