WebApp与Android App单条消息实现OTP自动填充可行性咨询

可以通过单条标准化格式的OTP消息同时支持WebApp与Android App端的OTP自动填充，无需区分设备类型配置两套独立模板。

Android端的OTP自动填充基于Google SMS Retriever API规范，要求短信末尾携带11位的应用签名哈希串即可触发识别；Web端的OTP自动填充基于W3C WebOTP API规范，要求短信中包含@<站点域名> #<OTP码>的格式串即可触发识别。两类规范的识别规则互不重叠，可同时嵌入同一条短信。

【XX应用】您的验证码是：876543，5分钟内有效，请勿告知他人。
@yourapp.com #876543
XyZ123aBc98

各段作用说明：

• 第一行是普通用户可读内容，无特殊格式要求
• 第二行的@yourapp.com #876543为WebOTP识别段：Web端会校验@后的域名与当前WebApp站点域名是否匹配，匹配成功后自动提取#后的6位验证码填充
• 第三行的11位字符串为Android应用签名哈希：Android端会校验该哈希与自身应用签名哈希是否一致，匹配成功后自动提取短信中的验证码填充

• OTP码需要同时出现在用户可读段和WebOTP识别段，避免两端识别出错
• Android端的11位签名哈希必须和应用打包使用的签名文件计算出的结果完全一致，若应用上架Google Play使用了谷歌签名服务，需要取谷歌后台提供的签名哈希
• WebOTP识别段中的域名必须和WebApp的正式访问域名完全匹配，包含子域名，不可省略或错写
• 整条短信的总长度建议控制在140字节以内，避免被运营商拆分为多条短信，导致自动填充服务识别失败
• 整个方案无需服务端做用户设备类型判断，仅需统一生成一套上述格式的短信即可，两端系统会自动完成适配识别

内容的提问来源于stack exchange，提问作者Rohith Joseph Mathew