Laravel用户注册OTP应存储在session还是数据库？含OTP流程及代码咨询

1. OTP存储选择：Session还是数据库 #

• 存储Session的适用场景：单服务器部署、用户操作全程保持会话连贯、没有跨端验证需求。优势是实现简单，无需额外存储资源，过期后会自动清理。
• 存储数据库/Redis的适用场景：分布式多节点部署、需要跨端验证、需要统计OTP发送/错误次数防刷、会话无法持久化的场景。优势是数据持久化、支持分布式调用、可以灵活扩展风控规则，是更通用的方案。

关于你的理解误区：不一定要先将完整用户数据存入数据库才能做OTP校验，可选两种实现逻辑：
① 先将用户待验证信息和OTP存入临时存储（临时表/Redis/Session），验证通过后再写入正式用户表，避免产生大量未验证的垃圾用户数据
② 先将用户数据写入正式表，新增isVerified字段默认设为false，验证通过后再更新为true，未验证用户限制登录权限

2. 标准OTP注册完整实现流程 #

• 用户提交注册必填字段（手机号、密码等），后端先校验字段合法性、判断手机号是否已注册
• 生成5-6位随机OTP，设置1-5分钟有效期（你代码中20秒的有效期过短，用户来不及完成输入）
• 调用短信/邮件服务发送OTP到用户联系方式，同时将手机号、OTP、有效期、发送次数存入临时存储
• 前端跳转至OTP填写页面，用户输入验证码后提交验证请求
• 后端依次校验：OTP是否过期、提交的手机号与申请OTP的手机号是否一致、输入的OTP与存储的OTP是否匹配
• 验证通过后：写入用户正式数据（或更新正式表的验证状态）、清理临时存储的OTP数据、返回登录凭证；验证失败则返回对应错误，超过错误次数可锁定该手机号的OTP申请10-30分钟，防止暴力破解

3. 现有代码的错误及修复方案 #

3.1 otpVerify方法问题 #

你当前的验证逻辑完全失效，两次都从Session中读取OTP，不管用户输入什么都会判断为匹配：

// 原错误逻辑
$otp = $request->session()->get('otp');
$enteredOtp = $request->session()->get('otp'); 
if ($otp == $enteredOtp) // 该判断永远为真，没有验证效果

修复后的参考代码：

public function otpVerify(Request $request)
{
    $data = $request->validate([
        'verification_code' => ['required', 'numeric', 'digits:5'],
        'phone_number' => ['required', 'string'],
    ]);
    // 读取Session中存储的OTP相关数据，注意Session键名大小写敏感
    $savedOtp = $request->session()->get('OTP');
    $expiryTime = $request->session()->get('expiry_time');
    $savedPhone = $request->session()->get('phone_number');

    // 校验是否过期
    if (Carbon::now()->greaterThan($expiryTime)) {
        return problem([], 400, 'OTP已过期，请重新获取');
    }
    // 校验手机号匹配，防止参数篡改
    if ($savedPhone != $data['phone_number']) {
        return problem([], 400, '手机号与申请OTP的号码不一致');
    }
    // 校验OTP匹配
    if ($savedOtp != $data['verification_code']) {
        return problem([], 400, 'OTP不匹配');
    }
    // 验证通过，更新用户验证状态
    $user = User::where('phone_number', $data['phone_number'])->first();
    $user->update(['isVerified' => true]);
    // 清理Session中过期的OTP数据
    $request->session()->forget(['OTP', 'expiry_time', 'phone_number']);
    
    $success['user'] = $user;
    $success['token'] =  $user->createToken('MyAuthApp')->plainTextToken;
    return success($success, __('用户验证成功'));
}

3.2 register方法问题 #

现有代码存在多个语法和逻辑错误：

1. 环境判断逻辑错误：!优先级高于===，原判断!env('APP_ENV') === 'local'永远为false，非本地环境也不会触发短信发送
   修复为：if (env('APP_ENV') !== 'local')
2. 字符串拼接符号错误：PHP中字符串拼接用.不是+，原短信内容拼接逻辑会报错
   修复为：'Message' => 'Your OTP code is:' . $otp
3. Session存储参数错误：Session::put批量存储需要传入关联数组，原传参方式只会存储第一个键值对
   修复为：

   Session::put([
       'OTP' => $otp,
       'expiry_time' => $otp_expires_time,
       'phone_number' => $user->phone_number
   ]);
   

4. 权限逻辑风险：你在注册阶段就直接生成了API token返回，相当于用户没通过OTP验证就已经拿到了登录凭证，建议将token生成逻辑移到OTP验证通过后再执行
5. 有效期过短：20秒的OTP有效期用户无法完成输入，建议修改为Carbon::now()->addMinutes(5)

内容的提问来源于stack exchange，提问作者jesshh Inca