REST在注册时，我应该检查一下电话验证代码吗？

Question

我有一个REST Api，有以下路径供用户注册：

1. 发送验证代码(/phone- code ) -> 2.验证代码(/verify) -> 3.输入个人信息并注册(/登录).

在第二步中，如果输入的代码是正确的，我将phone标记为有效；在第三步，我检查phone是否被标记为有效。但是想象一下，一个人验证手机，另一个人(比如黑客)试图跳过前两个步骤，用第一个人的手机触发/注册。由于手机已被验证，黑客成功注册。

那么问题是如何使/注册安全？我脑海中浮现的一个想法是在第二步和第三步中反复检查代码。但是，这会增加验证代码的持续时间，这并不是非常安全。你能给我个更好的建议吗？

Answer 1

在使用cookie的服务上使用某种会话系统。当您注册并验证时，您会记住电话号码以及它是否在会话中被验证。

你不应该再问电话号码，因为电话号码应该是已知的，在会议中。