Nuxt API端点生成邮箱验证码存入Firebase的实践疑问咨询

我在server/api目录下创建了emailVerification.js文件，代码如下：

const chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789';

function generateVerificationCode(length) {
    let result = '';
    for (let i = 0; i < length; i++) {
        const randomIndex = Math.floor(Math.random() * chars.length);
        result += chars[randomIndex];
    }
    return result;
}

export async function generateEmailVerificationCode() {
    try {
        const verificationCode = generateVerificationCode(32);
        return {
            verificationCode
        };
    } catch (error) {
        console.error('Error generating verification code:', error);
        throw new Error('Failed to generate verification code');
    }
}

同时在composables目录下的firebase.js文件中编写了如下代码：

const { verificationCode } = await generateEmailVerificationCode();

await addDoc(collection(db, "email_verification"), {
    account_id: user.uid,
    verification_code: verificationCode,
    created_at: serverTimestamp()
});

请问：

1. 在API端点生成验证码是否属于通用最佳实践？
2. 是否存在被客户端泄露的风险？
3. 我的当前实现是否正确？

1. 在API端点生成验证码是否属于通用最佳实践？ #

是的，这属于通用最佳实践。验证码是敏感的验证凭证，服务端生成能避开客户端环境的不可控性——客户端代码容易被反编译、调试，若在客户端生成，很可能被恶意篡改或伪造。服务端生成不仅能保证验证码的随机性和不可预测性，还能统一管控生成规则、长度、复杂度，方便后续维护调整。

2. 是否存在被客户端泄露的风险？ #

存在一定泄露风险。你的实现里，服务端生成的验证码会直接返回给客户端，再由客户端写入Firebase。这个过程中，如果用HTTP而非HTTPS传输，验证码可能被中间人劫持；另外客户端的日志、调试工具可能记录验证码，或者攻击者通过XSS攻击窃取客户端内存中的验证码。

3. 当前实现是否正确？ #

从功能上看，代码能生成32位随机验证码并存储到Firebase，是可以运行的，但有几个优化点：

• 随机数安全性：Math.random()不是密码学安全的随机数生成器，高安全性场景下建议改用Node.js的crypto模块，示例：

  import crypto from 'crypto';
  
  function generateVerificationCode(length) {
      return crypto.randomBytes(Math.ceil(length/2))
                  .toString('hex')
                  .slice(0, length);
  }
  

• 减少客户端接触验证码：可以直接在服务端完成Firebase存储操作，不用把验证码返回给客户端，彻底规避客户端泄露风险，客户端只需要知道操作结果即可。
• 添加有效期：当前没有设置验证码过期时间，建议存储时增加expires_at字段（比如生成后15分钟过期），后续验证时先检查是否过期。

内容的提问来源于stack exchange，提问作者razor60