ARTICLE DETAIL

建站实战干货

来自一线的建站与推广经验沉淀，每一条都经过真实交付验证。

首页 / 资讯中心 / 正文

Flask实现短信验证码功能全流程指南

2026/8/4 18:32:02 拓冰建站 浏览量
Flask实现短信验证码功能全流程指南 1. 为什么需要短信验证码功能在现代Web应用中短信验证码已经成为身份验证的标配。我最近为一个电商项目实现用户注册流程时就深刻体会到它的重要性。相比传统的邮箱验证短信验证码有三大不可替代的优势首先手机号的唯一性更高。大多数人不会频繁更换手机号但可能拥有多个邮箱。通过短信验证我们能更准确地识别用户身份。其次短信的到达率和打开率远超邮件。实测数据显示短信在5秒内的到达率超过99%而邮件的平均打开时间可能需要几小时。最后从用户体验角度输入6位数字远比点击邮件链接要便捷得多。2. Flask项目的基础配置2.1 创建Flask应用骨架我习惯使用Python 3.8和Flask 2.0的组合这个版本既稳定又具备现代特性。先用以下命令创建虚拟环境python -m venv venv source venv/bin/activate # Linux/Mac venv\Scripts\activate # Windows pip install flask项目结构建议这样组织/sms_verification /app __init__.py routes.py config.py /templates run.py在config.py中我会预先设置好这些关键配置import os class Config: SECRET_KEY os.environ.get(SECRET_KEY) or your-hard-to-guess-string SMS_API_KEY # 稍后从云厂商获取 SMS_API_SECRET SMS_SIGN_NAME 你的签名 # 需提前申请 SMS_TEMPLATE_CODE SMS_123456 # 模板ID2.2 安装必要依赖除了Flask核心包我们还需要几个关键扩展pip install requests python-dotenvrequests用于调用HTTP APIpython-dotenv管理环境变量我强烈建议使用.env文件存储敏感信息记得把它加入.gitignoreSECRET_KEYyour_actual_secret SMS_API_KEYyour_api_key SMS_API_SECRETyour_api_secret3. 云厂商API的选择与接入3.1 主流云厂商对比我调研过国内三大云服务商的短信服务厂商免费额度到达率价格(元/条)特色功能阿里云100条/月99.5%0.045模板审核快文档完善腾讯云200条/月99.3%0.05与企业微信深度整合华为云50条/月99.1%0.048国际短信支持好对于中小项目我推荐阿里云。它的控制台最直观错误提示也最友好。我在处理api error: 400这类问题时阿里云的文档总能快速定位到原因。3.2 API密钥获取实战以阿里云为例获取凭证的完整流程登录控制台进入短信服务申请签名需企业资质个人开发者可用测试签名创建模板内容类似您的验证码是${code}5分钟内有效在AccessKey管理中创建RAM子账号仅授予SMS权限重要安全提示绝对不要使用主账号AK遵循最小权限原则这是我在多个项目中积累的血泪教训。3.3 封装通用发送类我习惯将短信逻辑封装成独立类下面是经过生产验证的代码import hashlib import hmac import time import requests from urllib.parse import quote class AliyunSMS: def __init__(self, appNone): self.app app if app: self.init_app(app) def init_app(self, app): self.key app.config[SMS_API_KEY] self.secret app.config[SMS_API_SECRET] self.sign_name app.config[SMS_SIGN_NAME] self.template_code app.config[SMS_TEMPLATE_CODE] def _sign(self, params): sorted_params sorted(params.items()) canonicalized .join( f{k}{quote(str(v), safe)} for k, v in sorted_params ) string_to_sign fGET%2F{quote(canonicalized)} h hmac.new( (self.secret ).encode(), string_to_sign.encode(), hashlib.sha1 ) return h.hexdigest() def send(self, phone, code): params { SignatureMethod: HMAC-SHA1, SignatureNonce: str(int(time.time() * 1000)), AccessKeyId: self.key, SignatureVersion: 1.0, Timestamp: time.strftime(%Y-%m-%dT%H:%M:%SZ, time.gmtime()), Format: JSON, Action: SendSms, Version: 2017-05-25, RegionId: cn-hangzhou, PhoneNumbers: phone, SignName: self.sign_name, TemplateCode: self.template_code, TemplateParam: f{{code:{code}}} } params[Signature] self._sign(params) try: resp requests.get( https://dysmsapi.aliyuncs.com/, paramsparams, timeout5 ) data resp.json() if data.get(Code) ! OK: self.app.logger.error(fSMS failed: {data}) return False return True except Exception as e: self.app.logger.error(fSMS exception: {str(e)}) return False这个实现有几个关键点使用HMAC-SHA1签名这是云API的通用安全要求每个请求都有唯一Nonce防止重放攻击完善的错误处理和日志记录4. 验证码业务逻辑实现4.1 生成随机验证码看似简单的验证码生成其实有讲究。我见过直接使用random.randint(100000, 999999)的方案但这存在两个问题可能生成不足6位的数字虽然概率极低随机性不够强改进后的版本import secrets def generate_code(length6): return .join( str(secrets.randbelow(10)) for _ in range(length) )使用secrets模块比random更安全适合密码学场景。4.2 验证码存储方案我评估过几种存储方式Session存储简单但不适合分布式环境数据库存储可靠但增加查询开销Redis存储最佳选择性能与可靠性兼备推荐使用Redis的完整实现import redis from datetime import timedelta class CodeStorage: def __init__(self, appNone): self.redis None if app: self.init_app(app) def init_app(self, app): self.redis redis.Redis( hostapp.config[REDIS_HOST], portapp.config[REDIS_PORT], dbapp.config[REDIS_DB], decode_responsesTrue ) self.expire app.config.get(CODE_EXPIRE, 300) def save_code(self, phone, code): key fsms:{phone} self.redis.setex(key, timedelta(secondsself.expire), code) def verify_code(self, phone, code): key fsms:{phone} stored self.redis.get(key) if not stored: return False self.redis.delete(key) return stored code4.3 完整业务流程结合上述组件路由层实现示例from flask import Blueprint, request, jsonify, current_app from .sms import AliyunSMS, generate_code from .storage import CodeStorage bp Blueprint(auth, __name__) sms AliyunSMS() storage CodeStorage() bp.route(/send_code, methods[POST]) def send_code(): phone request.json.get(phone) if not phone or len(phone) ! 11: return jsonify({error: Invalid phone}), 400 code generate_code() if not sms.send(phone, code): return jsonify({error: SMS send failed}), 500 storage.save_code(phone, code) return jsonify({success: True}) bp.route(/verify_code, methods[POST]) def verify_code(): phone request.json.get(phone) code request.json.get(code) if not all([phone, code]): return jsonify({error: Missing parameters}), 400 if not storage.verify_code(phone, code): return jsonify({error: Invalid code}), 401 # 验证通过后的业务逻辑 return jsonify({success: True})5. 生产环境关键优化5.1 安全防护措施在实际运营中我遇到过这些攻击手段短信轰炸攻击者频繁调用接口导致用户收到大量短信验证码爆破尝试大量组合猜测有效验证码接口滥用利用开放接口发送垃圾内容对应的防御方案频率限制实现from flask_limiter import Limiter from flask_limiter.util import get_remote_address limiter Limiter( app, key_funcget_remote_address, default_limits[200 per day, 50 per hour] ) bp.route(/send_code, methods[POST]) limiter.limit(1/5minute) # 同一IP 5分钟只能发1次 def send_code(): # 原有逻辑验证码复杂度增强def generate_complex_code(length6): chars 23456789ABCDEFGHJKLMNPQRSTUVWXYZ # 去掉了易混淆字符 return .join(secrets.choice(chars) for _ in range(length))5.2 性能优化技巧当用户量增长后我通过以下优化将短信吞吐量提升了3倍异步发送使用Celery或RQ将短信发送移出主线程celery.task def async_send_sms(phone, code): sms.send(phone, code) # 在路由中改为 async_send_sms.delay(phone, code)连接池优化session requests.Session() adapter requests.adapters.HTTPAdapter( pool_connections10, pool_maxsize100, max_retries3 ) session.mount(https://, adapter)批量发送支持云厂商通常支持批量接口可以减少API调用次数5.3 监控与告警完善的监控体系应该包括成功率监控低于95%触发告警延迟监控P991s需要关注余额监控避免因欠费停服我在Prometheus中的关键指标from prometheus_client import Counter, Histogram SMS_REQUESTS Counter( sms_requests_total, Total SMS requests, [provider, status] ) SMS_DURATION Histogram( sms_duration_seconds, SMS sending duration, [provider] ) # 在发送方法中添加 start_time time.time() try: result send_actual() status success if result else failure finally: duration time.time() - start_time SMS_REQUESTS.labels(provideraliyun, statusstatus).inc() SMS_DURATION.labels(provideraliyun).observe(duration)6. 常见问题排查指南6.1 错误代码速查表我在运维过程中整理的典型错误错误代码原因解决方案400 InvalidSign签名计算错误检查AccessKeySecret和签名算法400 InvalidTemplate模板未审核通过检查控制台模板状态403 OutOfService账户欠费充值或检查余额500 InternalError服务端异常重试或联系技术支持6.2 调试技巧当遇到api error: 400这类模糊错误时我的排查步骤开启详细日志import http.client http.client.HTTPConnection.debuglevel 1使用Postman重现请求对比签名参数检查时间同步GMT时间误差需在15分钟内验证模板参数格式特别是JSON转义6.3 降级方案当云服务不可用时我设计的备用流程自动切换备用云厂商如阿里云→腾讯云启用邮件验证码作为fallback对于核心操作增加人工审核通道降级开关实现from circuitbreaker import circuit circuit(failure_threshold3, recovery_timeout60) def send_sms_with_circuit_breaker(phone, code): return sms.send(phone, code)7. 进阶功能扩展7.1 国际短信支持处理国际号码时需要特别注意号码格式[国家码][号码]如8613812345678时区问题验证码有效期需要考虑用户所在地时区模板差异不同国家有不同的合规要求改进后的发送逻辑def parse_phone_number(phone): if phone.startswith(): return phone elif phone.startswith(0) and len(phone) 10: return f86{phone[1:]} else: return f86{phone}7.2 语音验证码集成对于重要操作可以增加语音验证码。阿里云的实现差异params.update({ Action: SendBatchVoice, CalledNumber: phone, VoiceCode: code, CalledShowNumber: 显示号码 })7.3 无感验证方案结合行为验证码提升体验先进行滑动/点选验证通过后自动发送短信前端自动填充验证码前端示例// 使用腾讯云验证码 new TencentCaptcha({ ready: function() { // 预加载 }, callback: function(res) { if(res.ret 0) { fetch(/send_code, { method: POST, body: JSON.stringify({phone: 138...}) }); } } });8. 项目部署注意事项8.1 容器化部署我的Dockerfile配置FROM python:3.8-slim WORKDIR /app COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt COPY . . ENV FLASK_APPapp ENV FLASK_ENVproduction CMD [gunicorn, -w 4, -b :5000, app:app]关键优化使用多阶段构建减小镜像体积配置适当的Gunicorn worker数量分离配置文件和密钥8.2 性能调优生产环境实测参数# Gunicorn配置 workers min(4, (os.cpu_count() or 1) * 2 1) timeout 120 keepalive 75 # Redis连接池 pool redis.ConnectionPool( max_connections100, hostconfig.REDIS_HOST, portconfig.REDIS_PORT )8.3 持续集成我的CI流程包括单元测试覆盖所有边界条件集成测试模拟真实API调用安全扫描检查依赖漏洞性能基准测试示例GitLab CI配置stages: - test - deploy unit_test: stage: test script: - pytest tests/unit --covapp --cov-reportxml integration_test: stage: test services: - redis:alpine script: - pytest tests/integration --disable-warnings deploy_prod: stage: deploy when: manual only: - master script: - docker-compose up -d --build