OTP Attempt 次數如何儲存、計數及重置規則？
在實現 OTP 驗證系統時，管理嘗試次數是一個重要的安全考量。 這可以防止暴力破解攻擊，並確保使用者在一定次數內輸入正確的 OTP。 以下是如何儲存、計數及重置 OTP 嘗試次數的規則說明：
儲存 OTP 嘗試次數
OTP 嘗試次數可以透過多種方式存儲，常見的有兩種：在記憶體快取（如 Memcached 或 Redis）中存儲，或在資料庫中持久化儲存。 每種方式都有其優缺點：
記憶體快取
使用 Memcached 或 Redis 等記憶體快取儲存嘗試次數可以快速讀寫，適用於高頻率驗證的場景。 記憶體快取的缺點是在服務重啟後資料會遺失。
資料庫：在資料庫中持久化儲存嘗試次數可以確保資料的持久性，不會因為服務重新啟動而遺失，但相對於記憶體緩存，讀寫速度較慢。
計數規則
對於每個 OTP 請求，系統需要追蹤使用者的嘗試次數。 一般的流程如下：
初始化嘗試次數：當使用者首次要求 OTP 時，初始化其嘗試次數為 0。
增加嘗試次數：每當使用者嘗試驗證 OTP 時，無論成功與否，嘗試次數都應增加 1。
檢查嘗試次數：在允許的最大嘗試次數內，使用者可以嘗試輸入 OTP。 如果超過最大嘗試次數（如 3 次），則應拒絕驗證，並提示使用者 OTP 驗證失敗。
重設規則
嘗試次數的重置通常在以下情況下進行：
OTP 驗證成功：使用者成功驗證 OTP 後，應重置其嘗試次數。
OTP 過期：當 OTP 過期時，應重置嘗試次數。 通常，OTP 有一個較短的有效期（如 5 分鐘），過期後使用者需要重新請求新的 OTP。
請求新的 OTP：使用者在 OTP 有效期內請求新的 OTP 時，也應重置嘗試次數。
attempt_count 是指 本次的otp ，還是包括重送？
attempt_count 通常指的是針對本次產生的 OTP 的嘗試次數，包括首次發送的 OTP 以及任何因使用者請求而重新發送的 OTP 的所有驗證嘗試。 換句話說，每當使用者請求新的 OTP 或係統因某種原因重新產生並發送 OTP 給使用者時，attempt_count 應該被重置為0，以便新的 OTP 有一全新的嘗試次數。
在實踐中，這意味著：
對於每個新的 OTP：不論是使用者首次請求或後續因任何原因（如使用者請求、上一個 OTP 過期等）重新產生的 OTP，其 attempt_count 都應該從 0 開始計數。
嘗試次數限制
attempt_count 用來限制使用者驗證特定 OTP 的嘗試次數。 如果使用者在嘗試次數達到限制（如3次）之前未能成功驗證 OTP，系統應阻止進一步的嘗試，並可能要求使用者重新要求一個新的 OTP。
重新發送OTP：當使用者因未能在有限的嘗試次數內成功輸入OTP 而請求重新發送OTP 時，系統應產生一個新的OTP，並且attempt_count 需要重置為0，因為這實際上開始了一個新的 驗證嘗試週期。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 | <?php defined('BASEPATH') or exit ('No direct script access allowed'); class otp_model extends CI_Model { protected $memcached; public function __construct() { parent::__construct(); $this->load->database(); // 使用 persistent_id 初始化 Memcached $persistent_id = 'otp_cache'; $this->memcached = new Memcached($persistent_id); // 檢查是否已增加了服務器，避免重覆增加 if (count($this->memcached->getServerList()) == 0) { // 增加 Memcached 服務器 $this->memcached->addServer('localhost', 11211); } } public function generateAndStoreOtp($email) { $otp = $this->generateOtp(); $key = "otp:{$email}"; $otpKey = $this->generateOtpKey(); // 生成一個4位的英文鍵 $attemptKey = "attempt_count:{$email}"; // 儲存到 Memcached $this->memcached->set($key, ['otp' => $otp, 'otp_key' => $otpKey], 300); $this->resetAttemptCount($email); // 重置嘗試次數 // 儲存到 MySQL $data = [ 'email' => $email, 'otp' => $otp, 'otp_key' => $otpKey, 'timestamp' => date("Y-m-d H:i:s") ]; $this->db->replace('otp_records', $data); // 發送 OTP 和 OTP 鍵給 User $this->sendOtpEmail($email, $otp, $otpKey); return ['success' => true, 'message' => 'OTP 發送成功。']; } public function verifyOtp($email, $inputOtp, $inputOtpKey) { $key = "otp:{$email}"; $storedData = $this->memcached->get($key); // 檢查嘗試次數是否達到上限 if ($this->isAttemptLimitReached($email)) { return ['success' => false, 'message' => '您已達到最大驗證嘗試次數。']; } if (!$storedData || $storedData['otp'] !== $inputOtp || $storedData['otp_key'] !== $inputOtpKey) { // OTP 或 OTP 鍵錯誤，增加嘗試次數 $this->increaseAttemptCount($email); return ['success' => false, 'message' => 'OTP 或 OTP 鍵錯誤。']; } // OTP 驗證成功，重置嘗試次數並刪除 Memcached 和資料庫中的記錄 $this->resetAttemptCount($email); $this->memcached->delete($key); $this->db->where('email', $email)->delete('otp_records'); return ['success' => true, 'message' => 'OTP 驗證成功。']; } public function resendOtp($email) { $resendKey = "resend_count:{$email}"; $resendCount = (int) $this->memcached->get($resendKey) ?: 0; // 檢查是否已達到重發次數限制 if ($resendCount >= 3) { // 超過重發次數限制 return ['success' => false, 'message' => '已達到 OTP 重發嘗試的最大次數。請稍後再試。']; } // 生成新的 OTP 和 OTP 键 $otp = $this->generateOtp(); $otpKey = $this->generateOtpKey(); // 生成一个4位的英文鍵 $key = "otp:{$email}"; // 儲存新的 OTP 到 Memcached，並重置嘗試次數 $this->memcached->set($key, ['otp' => $otp, 'otp_key' => $otpKey], 300); $this->resetAttemptCount($email); // 重置嘗試次數 $this->memcached->set($resendKey, $resendCount + 1, 3600); // 更新重發次數，並設置為 1 小时後過期 // 更新 MySQL 中的 OTP 記錄 $data = [ 'email' => $email, 'otp' => $otp, 'otp_key' => $otpKey, 'timestamp' => date("Y-m-d H:i:s") ]; $this->db->replace('otp_records', $data); // 發送新的 OTP 和 OTP 鍵给用户 $this->sendOtpEmail($email, $otp, $otpKey); return ['success' => true, 'message' => '已向您的電子郵件發送了新的 OTP。']; } private function sendOtpEmail($email, $otp, $otpKey) { $this->load->library('email'); // 載入 CodeIgniter 的 Email 庫 $this->email->from('EMAIL_FROM_ADDRESS', EMAIL_FROM_TITLE); $this->email->to($email); $this->email->subject('您的 OTP 驗證碼'); // 構建郵件内容，包括 OTP 和 OTP 鍵 $message = "親愛的用戶， 您的 OTP 驗證碼是：<b>{$otpKey}</b>-<b>{$otp}</b> 請在5分鐘內使用此碼進行驗證。 如果您沒有請求此操作，請忽略此郵件。"; $this->email->message($message); // 發送郵件 if (!$this->email->send()) { // 郵件發送失敗的處理 log_message('error', 'OTP 郵件發送失敗: ' . $this->email->print_debugger()); return false; } return true; } private function generateOtp() { return random_int(100000, 999999); } private function generateOtpKey() { $otpKey = ''; for ($i = 0; $i < 4; $i++) { $otpKey .= chr(random_int(65, 90)); // ASCII 表中大寫字母A到Z的範围 } return $otpKey; } // 增加嘗試次數 public function increaseAttemptCount($email) { $attemptKey = "attempt_count:{$email}"; $attempts = $this->memcached->get($attemptKey) ?: 0; $this->memcached->set($attemptKey, $attempts + 1, 300); // 設置過期時間為 5 分鐘 } // 重置嘗試次數 public function resetAttemptCount($email) { $attemptKey = "attempt_count:{$email}"; $this->memcached->delete($attemptKey); } // 檢查嘗試次數是否達到上限 public function isAttemptLimitReached($email) { $attemptKey = "attempt_count:{$email}"; $attempts = $this->memcached->get($attemptKey) ?: 0; return $attempts >= 3; // 假設最大嘗試次數為 3 } } |
OTP Resend 次數如何儲存、計數及重置規則？
後續其實還要考慮重送機制的儲存、限制和解除方式，如下：
儲存
OTP 通常會儲存在伺服器的資料庫中。資料庫必須受到加密保護，以防止駭客竊取 OTP。
限制
為了防止駭客濫用 OTP 重送機制，系統可能會對重送次數和時間進行限制。例如，系統可能規定每小時只能重送 OTP 3 次。
解除
如果使用者忘記 OTP，可以透過系統提供的忘記密碼機制來解除 OTP。
