ejabberd一次性密码认证实现：基于手机号短信验证的用户注册方案问询

1. 核心实现逻辑 #

ejabberd默认注册流程是客户端直接提交用户名密码完成注册，你需要把原有单步注册拆分为两步：第一步手机号申请验证码、第二步提交验证码+密码完成注册，核心通过修改mod_register注册模块或自定义ejabberd模块实现逻辑拦截即可。

2. 具体实现步骤 #

• 第一步：统一用户命名规则
  直接将用户JID的用户名部分设置为手机号，格式为手机号@你的服务域名，从根源限制只能用手机号注册，不需要额外新增字段存储手机号信息。
• 第二步：开发验证码存储与发送逻辑
  用ejabberd内置的mnesia数据库，或外接的Redis/MySQL新建验证码表，字段包含：手机号、验证码、生成时间、过期时间、使用状态。用户请求发送验证码时，先校验该手机号是否已注册，未注册则生成6位随机验证码写入表，再调用你对接的短信服务商接口发送短信即可。
• 第三步：拦截默认注册请求做校验
  有两种改法可以选择：
  1. 直接修改mod_register.erl源码，在原有注册逻辑的最前面新增校验规则：判断注册请求是否携带合法、未过期、未使用的验证码，校验不通过直接返回错误，校验通过才走后续注册流程，注册完成后将对应验证码标记为已使用。
  2. 更解耦的方案是自行开发独立的自定义模块，监听ejabberd的register_user钩子，在钩子回调逻辑中完成验证码校验，校验失败直接抛出错误终止注册流程，不需要修改ejabberd原生模块代码。
• 第四步：适配客户端注册流程
  客户端注册流程对应调整为两步：第一步输入手机号请求发送验证码，第二步输入验证码和设置登录密码，调用ejabberd注册接口时把验证码作为扩展参数一起传递。如果用标准XMPP注册流程，可以把验证码放在IQ请求的扩展字段中传输。

注意：客户端传输验证码和密码时必须走TLS加密通道，避免明文传输导致信息泄露。

3. 可选优化方案 #

如果对Erlang开发不熟悉，不想修改ejabberd源码，可以把注册逻辑完全抽出来做独立的HTTP接口：客户端先走HTTP接口完成手机号校验和验证码验证，验证通过后服务端内部调用ejabberd的ctl命令或者admin API创建用户，这种方式实现门槛更低，也不会影响ejabberd后续版本升级。
可以额外加发送频率限制规则：比如同一个手机号1分钟内只能发1次验证码，1天内最多发送5次，同时限制同一IP的注册频率，避免被恶意刷短信接口。

内容的提问来源于stack exchange，提问作者Omer Abdalla