V2EX › playsoso 的所有回复 › 第 1 页 / 共 1 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

2016-06-23 13:01:33 +08:00

@playsoso 因为涉及到重放攻击，而且验证码有状态服务端需要记录是否发放过验证码和验证码是否已验证过，所以还是需要依赖服务端状态保存

2016-06-23 11:26:17 +08:00

我觉得可以使用 jwe 方案，也就是 jwt 其中客户端内容加密过，请求验证码同时发放 token ，提交验证码时携带 token
通过 token 里签发时间和过期时间来判断是否有效， token 内容与验证码结果做比对