基于REST API的OTP验证：使用OTP ID提交的安全性问询

• 隐藏字段的OTP ID易被窃取滥用：前端隐藏字段并非真正保密，任何人通过浏览器开发者工具都能直接查看获取OTP ID。一旦攻击者拿到该ID，无需知晓对应手机号或邮箱，仅通过暴力破解OTP就能发起验证请求。若OTP ID是自增数字这类有规律的格式，攻击者还可遍历ID批量攻击，大幅降低攻击成本。
• OTP ID未与用户会话绑定：如果OTP ID不关联用户会话（如Session），只要攻击者获取到ID，就能在任意设备发起验证请求，完全绕过“仅提交手机号/邮箱的用户可验证”的逻辑。比如用户A的OTP ID被截获，攻击者可在自己设备上用该ID尝试输入OTP，冒充用户A完成验证。
• 重放与复用风险：若服务器未给OTP ID设置严格过期时间，或验证成功后未立即标记该ID为已使用，攻击者可重复用同一个OTP ID和对应OTP发起请求，甚至在有效期内多次提交，导致验证逻辑失效。此外，若攻击者拦截到用户提交的OTP和OTP ID，还能直接重放请求完成验证。
• OTP ID可被篡改：攻击者能通过开发者工具修改隐藏字段中的OTP ID，尝试替换为其他用户的有效ID，进而验证他人的OTP，引发越权验证风险。
• 暴力破解防御难度提升：验证请求仅需OTP ID和OTP，攻击者无需携带手机号/邮箱，更易构造批量请求暴力破解。若服务器未对单个OTP ID设置验证次数限制，攻击者可快速尝试所有可能的OTP组合。

内容的提问来源于stack exchange，提问作者Sara