Binance API是否支持账密+手机验证码直接登录授权？

核心结论 #

该方案不具备合规实现路径，同时存在严重违规与安全风险，无法落地。

具体原因 #

• Binance官方从未开放过允许第三方应用直接收集用户平台账户名、登录密码、短信/邮箱验证码的接口。所有官方认可的授权模式下，第三方应用都无权获取用户的核心登录凭证：
  • 传统API密钥模式：用户自主在Binance个人后台创建API Key与Secret Key，可自主配置密钥的交易、持仓查询等权限范围，绑定IP白名单，随时可吊销密钥，全程不需要向第三方透露自己的账户登录密码
  • 官方OAuth授权模式：用户会跳转至Binance官方域名下的授权页面完成身份校验，第三方应用全程无法接触用户输入的密码、验证码内容，授权完成后仅能拿到Binance返回的限定权限访问令牌，无法获取用户的账户登录信息
• 如果你自行搭建登录页要求用户输入Binance账户的用户名、密码、验证码，首先会直接违反Binance开放平台的接入规则，一经检测会直接封禁你方所有API访问权限，情节严重的会被追究相关法律责任；其次这种模式属于超范围收集用户金融账户核心敏感信息，一旦出现数据泄露，你方需要承担用户资产损失的全部责任，同时违反金融数据安全、个人信息保护相关的监管要求。

合规替代方案 #

• 若满足Binance开放平台的OAuth接入资质，可直接对接官方OAuth授权流程：用户全程在Binance官方页面完成授权操作，既不需要手动复制粘贴API密钥，你方也不需要接触用户的敏感登录信息，授权后即可在用户许可的权限范围内调用对应API接口
• 若暂不满足OAuth接入要求，可在应用内做清晰的分步操作引导，提示用户前往Binance个人后台创建对应权限的API密钥，同时明确提示用户不要为密钥开启提现权限、务必配置API访问IP白名单，降低用户密钥泄露的资产风险。

风险提示：所有要求用户直接输入交易所账户登录密码、短信/邮箱验证码的第三方加密货币应用均存在极高的资产盗窃风险，普通用户遇到此类应用请直接拒绝授权。

内容的提问来源于stack exchange，提问作者EAA