SMS OTP（一次性密码）是一种通过短信发送的简短数字代码，用于验证尝试登录、完成付款或重置密码的人是否确实有权访问存档的电话号码。它使用一次后很快就会过期，通常在五到十五分钟内。
它是如何运作的
- 用户尝试敏感操作 - 登录、付款、重置密码。
- 系统生成一个随机的一次性代码，并通过短信将其发送到与帐户绑定的电话号码。
- 用户在到期窗口内将该代码输入回应用程序或网站。
- 系统确认代码匹配并让操作继续进行。
为什么专门短信
短信 OTP 可以作为第二因素验证，因为它依赖于用户实际拥有的东西（手机），与他们知道的东西（例如密码）分开。即使密码被盗或猜出，没有物理访问手机（或控制其号码）的攻击者通常也无法完成登录。短信比其他渠道更受欢迎，主要是因为它不需要应用程序，不需要互联网连接，并且几乎适用于所有手机。
常见用途
- 登录的双因素身份验证
- 确认付款或更改帐户详细信息
- 在帐户注册期间验证电话号码
- 授权重置密码
短信一次性密码安全吗？
与单独的密码相比，短信 OTP 是一个重大的安全改进，但它并不是最强大的第二个因素 - 它可能容易受到 SIM 交换欺诈的攻击，即攻击者说服运营商将受害者的号码转移到新的 SIM 卡上，或者在安全性较差的网络上遭到拦截。对于大多数消费者应用来说，它仍然是一个实用的、低摩擦的标准；安全性更高的用例越来越多地将其与身份验证器应用程序或硬件密钥配对或替换。
企业发送 OTP 的最佳实践
- 保持到期窗口较短——通常为五到十分钟。
- 通过专用的高优先级发送路径而不是与营销消息相同的队列路由 OTP 流量。
- 对同一号码请求代码的频率进行限制，以防止滥用。
- 切勿包含除代码和简短指令之外的任何内容 — OTP 消息是相似文本的常见网络钓鱼目标。