Java實現(xiàn)短信驗證碼功能的完整代碼
更新時間：2025年12月16日 09:39:32 作者：悟空碼字
這篇文章主要為大家詳細介紹了Java實現(xiàn)短信驗證碼功能的完整代碼,文中的示例代碼講解詳細,具有一定的借鑒價值,感興趣的小伙伴可以了解下
一、被盜刷的慘狀：驗證碼的“春運”現(xiàn)場
想象一下這個場景：你的短信驗證碼接口就像雙十一的購物車，一群“羊毛黨”開著機器人拖拉機，以每秒100次的速度瘋狂點擊“發(fā)送驗證碼”按鈕。你的短信費就像漏氣的氣球一樣癟下去，而真正的用戶卻收不到驗證碼，急得像熱鍋上的螞蟻。
更可怕的是，可能：
- 用你的錢給隔壁老王發(fā)“我愛你”短信
- 測試出所有已注冊手機號（撞庫攻擊）
- 讓你的服務器累到懷疑人生，直接躺平（DDoS）
二、防御戰(zhàn)術大全：給接口裝上“金鐘罩”
1.頻率限制：給“點擊狂魔”戴上手銬
import com.google.common.cache.Cache;
import com.google.common.cache.CacheBuilder;
import java.util.concurrent.TimeUnit;
import java.util.concurrent.atomic.AtomicInteger;
/**
* 短信衛(wèi)士 - 專治各種手速過快
*/
public class SmsGuard {
// 使用Guava Cache存儲訪問頻率
private static final Cache<String, AtomicInteger> IP_CACHE =
CacheBuilder.newBuilder()
.expireAfterWrite(1, TimeUnit.HOURS)
.build();
private static final Cache<String, AtomicInteger> PHONE_CACHE =
CacheBuilder.newBuilder()
.expireAfterWrite(1, TimeUnit.HOURS)
.build();
/**
* 檢查這個IP是不是在開掛
* @param ip 客戶端IP
* @param maxAttempts 最大嘗試次數(shù)（比如1小時10次）
* @return true=正常用戶，false=疑似黑客
*/
public static boolean isIpAllowed(String ip, int maxAttempts) {
try {
AtomicInteger counter = IP_CACHE.get(ip, () -> new AtomicInteger(0));
int attempts = counter.incrementAndGet();
if (attempts > maxAttempts) {
System.out.println("檢測到IP " + ip + " 疑似開掛，已攔截！");
return false;
}
return true;
} catch (Exception e) {
return false; // 出錯時保守一點，拒絕訪問
}
}
/**
* 檢查這個手機號是不是在刷驗證碼
* @param phone 手機號
* @param maxSmsPerHour 每小時最多發(fā)幾條
* @return true=可以發(fā)，false=發(fā)太多了
*/
public static boolean isPhoneAllowed(String phone, int maxSmsPerHour) {
try {
AtomicInteger counter = PHONE_CACHE.get(phone, () -> new AtomicInteger(0));
int sentCount = counter.incrementAndGet();
if (sentCount > maxSmsPerHour) {
System.out.println("手機號 " + phone + " 今天已經收到" + sentCount + "條驗證碼，讓它歇會兒吧");
return false;
}
return true;
} catch (Exception e) {
return false;
}
}
}
2.圖形驗證碼：讓機器人“看圖說話”
import javax.imageio.ImageIO;
import java.awt.*;
import java.awt.image.BufferedImage;
import java.io.ByteArrayOutputStream;
import java.util.Random;
/**
* 驗證碼生成器 - 專治眼瞎的機器人
*/
public class CaptchaGenerator {
/**
* 生成能讓機器人懷疑人生的驗證碼
* @return [0]=圖片Base64, [1]=驗證碼答案
*/
public static String[] generateCaptcha() {
int width = 120;
int height = 40;
// 創(chuàng)建一張讓機器人哭泣的圖片
BufferedImage image = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
Graphics2D g = image.createGraphics();
// 設置背景色（隨機淺色）
g.setColor(getRandomLightColor());
g.fillRect(0, 0, width, height);
// 畫干擾線（讓機器人眼花繚亂）
g.setColor(Color.BLACK);
Random random = new Random();
for (int i = 0; i < 10; i++) {
int x1 = random.nextInt(width);
int y1 = random.nextInt(height);
int x2 = random.nextInt(width);
int y2 = random.nextInt(height);
g.drawLine(x1, y1, x2, y2);
}
// 生成隨機驗證碼（避開容易混淆的字符）
String chars = "ABCDEFGHJKLMNPQRSTUVWXYZ23456789";
StringBuilder captchaText = new StringBuilder();
for (int i = 0; i < 4; i++) {
char c = chars.charAt(random.nextInt(chars.length()));
captchaText.append(c);
// 扭曲、旋轉、變色 - 三連擊！
g.setFont(new Font("Arial", Font.BOLD | Font.ITALIC, 30 + random.nextInt(5)));
g.setColor(getRandomDarkColor());
// 輕微旋轉字符
double theta = random.nextDouble() * 0.5 - 0.25;
g.rotate(theta, 20 + i * 25, 25);
g.drawString(String.valueOf(c), 20 + i * 25, 25);
g.rotate(-theta, 20 + i * 25, 25);
}
g.dispose();
try {
// 轉換為Base64
ByteArrayOutputStream baos = new ByteArrayOutputStream();
ImageIO.write(image, "png", baos);
String base64Image = java.util.Base64.getEncoder().encodeToString(baos.toByteArray());
return new String[]{"data:image/png;base64," + base64Image, captchaText.toString()};
} catch (Exception e) {
throw new RuntimeException("驗證碼生成失敗", e);
}
}
private static Color getRandomLightColor() {
Random random = new Random();
return new Color(200 + random.nextInt(55),
200 + random.nextInt(55),
200 + random.nextInt(55));
}
private static Color getRandomDarkColor() {
Random random = new Random();
return new Color(random.nextInt(150),
random.nextInt(150),
random.nextInt(150));
}
}
3.滑動驗證碼：讓機器人“學走路”
import java.util.UUID;
import java.util.concurrent.ConcurrentHashMap;
/**
* 滑動驗證碼 - 專治不會用鼠標的機器人
*/
public class SlideCaptchaService {
// 存儲驗證會話
private static final ConcurrentHashMap<String, SlideCaptchaData> SESSIONS =
new ConcurrentHashMap<>();
/**
* 生成滑動驗證碼挑戰(zhàn)
*/
public static SlideChallenge generateChallenge() {
String sessionId = UUID.randomUUID().toString();
// 隨機生成目標位置（這里簡化了，實際應該有圖片處理）
int targetX = 100 + new Random().nextInt(200);
int targetY = 50 + new Random().nextInt(100);
SlideCaptchaData data = new SlideCaptchaData(targetX, targetY);
SESSIONS.put(sessionId, data);
// 設置5分鐘過期
new Timer().schedule(new TimerTask() {
@Override
public void run() {
SESSIONS.remove(sessionId);
}
}, 5 * 60 * 1000);
return new SlideChallenge(sessionId, targetX, targetY);
}
/**
* 驗證滑動結果
*/
public static boolean verify(String sessionId, int userX, int userY) {
SlideCaptchaData data = SESSIONS.get(sessionId);
if (data == null) {
return false; // 會話過期
}
// 允許±5像素的誤差（人類手抖，機器人太精確反而可疑）
boolean isValid = Math.abs(userX - data.targetX) <= 5 &&
Math.abs(userY - data.targetY) <= 5;
if (isValid) {
SESSIONS.remove(sessionId); // 一次性使用
}
return isValid;
}
static class SlideCaptchaData {
int targetX;
int targetY;
SlideCaptchaData(int targetX, int targetY) {
this.targetX = targetX;
this.targetY = targetY;
}
}
static class SlideChallenge {
String sessionId;
int targetX;
int targetY;
SlideChallenge(String sessionId, int targetX, int targetY) {
this.sessionId = sessionId;
this.targetX = targetX;
this.targetY = targetY;
}
}
}
4.完整的短信發(fā)送服務
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.stereotype.Service;
import java.util.concurrent.TimeUnit;
/**
* 短信發(fā)送服務 - 武裝到牙齒的版本
*/
@Service
public class SmsService {
@Autowired
private RedisTemplate<String, String> redisTemplate;
@Autowired
private RiskControlService riskControlService;
/**
* 發(fā)送驗證碼（安全加強版）
*/
public ApiResponse sendVerificationCode(String phone, String ip, String captchaCode, String sessionId) {
// 1. 檢查IP風險
if (!riskControlService.checkIpRisk(ip)) {
return ApiResponse.error("您的網絡環(huán)境存在風險，請稍后再試");
}
// 2. 驗證圖形驗證碼（如果有）
if (captchaCode != null && !validateCaptcha(sessionId, captchaCode)) {
return ApiResponse.error("驗證碼錯誤，請重新輸入");
}
// 3. 頻率控制：同一手機號1分鐘內只能發(fā)1次
String minuteKey = "sms:minute:" + phone;
if (Boolean.TRUE.equals(redisTemplate.hasKey(minuteKey))) {
return ApiResponse.error("操作過于頻繁，請1分鐘后再試");
}
// 4. 頻率控制：同一手機號1小時內最多5次
String hourKey = "sms:hour:" + phone;
Long hourCount = redisTemplate.opsForValue().increment(hourKey);
if (hourCount != null && hourCount == 1) {
redisTemplate.expire(hourKey, 1, TimeUnit.HOURS);
}
if (hourCount != null && hourCount > 5) {
return ApiResponse.error("今日驗證碼發(fā)送次數(shù)已達上限");
}
// 5. 生成6位隨機驗證碼
String code = String.format("%06d", new Random().nextInt(999999));
// 6. 存儲驗證碼（5分鐘過期）
String codeKey = "sms:code:" + phone;
redisTemplate.opsForValue().set(codeKey, code, 5, TimeUnit.MINUTES);
// 7. 設置1分鐘冷卻期
redisTemplate.opsForValue().set(minuteKey, "1", 1, TimeUnit.MINUTES);
// 8. 記錄發(fā)送日志（用于分析）
logSmsSent(phone, ip, code);
// 9. 調用第三方短信服務（實際發(fā)送）
boolean sent = realSendSms(phone, code);
if (sent) {
// 10. 返回脫敏的手機號
String maskedPhone = phone.substring(0, 3) + "****" + phone.substring(7);
return ApiResponse.success("驗證碼已發(fā)送至" + maskedPhone);
} else {
return ApiResponse.error("短信發(fā)送失敗，請稍后重試");
}
}
/**
* 驗證短信驗證碼
*/
public boolean verifyCode(String phone, String userCode) {
String codeKey = "sms:code:" + phone;
String correctCode = redisTemplate.opsForValue().get(codeKey);
if (correctCode == null) {
return false; // 驗證碼已過期
}
// 驗證成功后刪除驗證碼（防止重復使用）
boolean isValid = correctCode.equals(userCode);
if (isValid) {
redisTemplate.delete(codeKey);
}
return isValid;
}
private void logSmsSent(String phone, String ip, String code) {
// 這里應該記錄到數(shù)據(jù)庫或日志系統(tǒng)
System.out.println(String.format(
"短信發(fā)送日志: phone=%s, ip=%s, code=%s, time=%s",
phone, ip, code, new java.util.Date()
));
}
private boolean realSendSms(String phone, String code) {
// 調用真實的短信服務商接口
// 這里簡化處理，實際應該用HTTP客戶端調用
try {
System.out.println(String.format(
"發(fā)送短信到 %s: 您的驗證碼是%s，5分鐘內有效，打死也不要告訴別人哦！",
phone, code
));
return true;
} catch (Exception e) {
return false;
}
}
}
5.風控服務：火眼金睛識破壞人
/**
* 風控服務 - 專治各種不服
*/
@Service
public class RiskControlService {
@Autowired
private RedisTemplate<String, String> redisTemplate;
/**
* 綜合風險評估
*/
public RiskLevel assessRisk(String phone, String ip, String userAgent) {
int riskScore = 0;
// 1. IP地址檢查
if (isSuspiciousIp(ip)) {
riskScore += 30;
}
// 2. User-Agent檢查
if (isSuspiciousUserAgent(userAgent)) {
riskScore += 20;
}
// 3. 請求頻率檢查
if (isHighFrequency(ip)) {
riskScore += 40;
}
// 4. 手機號歸屬地 vs IP歸屬地
if (!isLocationConsistent(phone, ip)) {
riskScore += 20;
}
// 5. 歷史行為檢查
if (hasBadHistory(ip)) {
riskScore += 50;
}
// 根據(jù)分數(shù)返回風險等級
if (riskScore >= 80) {
return RiskLevel.HIGH;
} else if (riskScore >= 50) {
return RiskLevel.MEDIUM;
} else {
return RiskLevel.LOW;
}
}
/**
* 檢查IP風險
*/
public boolean checkIpRisk(String ip) {
String key = "risk:ip:" + ip;
Long count = redisTemplate.opsForValue().increment(key);
if (count == 1) {
redisTemplate.expire(key, 1, TimeUnit.HOURS);
}
// 1小時內超過50次請求視為風險
return count == null || count <= 50;
}
enum RiskLevel {
LOW, // 低風險：正常通過
MEDIUM, // 中風險：需要額外驗證
HIGH // 高風險：直接拒絕
}
// 其他檢測方法...
}
三、防御體系總結：打造鐵桶陣
多層防御體系
第一層：前端防護
- 圖形驗證碼（專治簡單機器人）
- 滑動驗證碼（專治中級機器人）
- 點擊按鈕防重放（防止連續(xù)點擊）
第二層：頻率限制
- IP級別限流（防止單一IP攻擊）
- 手機號級別限流（防止針對特定號碼）
- 設備指紋限流（更精準的識別）
第三層：行為分析
- 請求時間分布分析（機器人請求太規(guī)律）
- 鼠標軌跡分析（機器人不會手抖）
- 操作間隔分析（機器人反應太快）
第四層：業(yè)務邏輯
- 驗證碼有效期控制（通常5分鐘）
- 驗證碼一次性使用（用后即焚）
- 錯誤次數(shù)限制（防止破解）
監(jiān)控與預警
/**
* 監(jiān)控服務 - 短信接口的"心電圖"
*/
@Service
public class SmsMonitorService {
// 關鍵指標監(jiān)控
public void monitorMetrics() {
// 1. 成功率監(jiān)控
// 2. 響應時間監(jiān)控
// 3. 異常請求監(jiān)控
// 4. 費用消耗監(jiān)控
// 發(fā)現(xiàn)異常立即告警
// - 短信量突增
// - 成功率突降
// - 特定IP大量請求
}
/**
* 自動熔斷機制
*/
public void circuitBreaker(String phonePrefix) {
// 如果某個號段異常，自動臨時屏蔽
// 比如：170號段被大量攻擊，自動限制該號段
}
}
實踐建議
- 按需發(fā)送：只有必要的時候才發(fā)驗證碼，比如注冊、登錄、支付
- 內容脫敏：短信中不要包含完整手機號
- 成本控制：設置每日、每月短信預算上限
- 驗證碼復雜度：6位數(shù)字足夠，別搞太復雜
- 失敗處理：失敗時給出友好提示，但不要泄露細節(jié)
- 定期審計：定期檢查日志，發(fā)現(xiàn)異常模式
四、道高一尺，魔高一丈
安全是一場持久戰(zhàn)。今天防住了普通機器人，明天可能就有高級AI來挑戰(zhàn)。關鍵在于：
- 不要依賴單一防御：多層防御才靠譜
- 保持更新：安全方案需要與時俱進
- 監(jiān)控報警：早發(fā)現(xiàn)、早處理、早止損
- 成本意識：既要安全，也要考慮用戶體驗和實現(xiàn)成本
最最重要的是：不要把驗證碼接口當成公共廁所，誰想來就來！ 給它裝上門禁、攝像頭、保安，還要收門票（驗證手段），這樣才能讓羊毛黨知難而退。
以上就是Java實現(xiàn)短信驗證碼功能的完整代碼的詳細內容，更多關于Java短信驗證碼的資料請關注腳本之家其它相關文章！
相關文章
這篇文章主要介紹了Spring循環(huán)依賴??的解決方式,??循環(huán)依賴??是指兩個或多個Bean互相依賴,形成閉環(huán),導致Spring無法正常完成依賴注入,需要的朋友可以參考下2025-05-05
這篇文章主要介紹了對RestTemplate的深度解析，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2021-10-10
Spring Boot 實現(xiàn)程序的優(yōu)雅退出(詳細步驟)
Spring Boot 為我們提供了優(yōu)雅退出的功能,使應用程序能夠在關閉時正常處理完所有當前請求,避免請求被中斷導致數(shù)據(jù)丟失或不一致等問題,本文將全面介紹如何在 Spring Boot 應用程序中實現(xiàn)優(yōu)雅退出,感興趣的朋友跟隨小編一起看看吧2024-03-03
java解析XML Node與Element的區(qū)別(推薦)
下面小編就為大家分享一篇java解析XML Node與Element的區(qū)別，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2018-01-01
詳談Java編程之委托代理回調、內部類以及匿名內部類回調(閉包回調)
下面小編就為大家?guī)硪黄斦凧ava編程之委托代理回調、內部類以及匿名內部類回調(閉包回調)。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-05-05
這篇文章主要為大家詳細介紹了JavaMail實現(xiàn)簡單郵件發(fā)送，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2022-08-08
這篇文章主要介紹了SpringCloud Stream消息驅動的相關知識，本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值,需要的朋友可以參考下2021-03-03
Mybatis日志配置方式(slf4j、log4j、log4j2)
這篇文章主要介紹了Mybatis日志配置方式(slf4j、log4j、log4j2),具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-09-09
IntelliJ?IDEA2022.3?springboot?熱部署含靜態(tài)文件(最新推薦)
這篇文章主要介紹了IntelliJ?IDEA2022.3?springboot?熱部署含靜態(tài)文件,本文結合實例代碼給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下2023-01-01
這篇文章主要介紹了Java 通過反射變更String的值過程詳解,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2019-10-10