1. 业务需求分析

手机验证码登录的核心需求包括：

1. 验证码生成与发送：后端生成验证码并发送到用户手机。
2. 验证码校验：用户输入验证码后，后端校验其正确性和有效性。
3. 用户登录与注册：如果用户存在，则直接登录；如果用户不存在，则自动注册新用户。
4. 令牌管理：登录成功后，生成并返回JWT（JSON Web Token）令牌，用于后续请求的身份验证。

2. 系统设计

2.1 技术栈

• 后端框架：Spring Boot（Java）、Express（Node.js）等。
• 缓存服务：Redis，用于存储验证码和JWT令牌。
• 数据库：MySQL，用于存储用户信息。
• 短信服务：阿里云短信服务或其他第三方短信服务。

2.2 核心流程

以下是手机验证码登录的核心流程，通过时序图展示：

3. 实现细节

3.1 验证码生成与发送

1. 生成验证码：使用随机数生成6位数字验证码。
2. 存储验证码：将验证码与用户手机号关联，并存储到Redis中，设置5分钟的有效期。
3. 发送验证码：调用短信服务API，将验证码发送到用户手机。

// 示例代码：生成并存储验证码
String phoneNumber = request.getPhoneNumber();
String verificationCode = generateRandomCode(6); // 生成6位随机验证码
redisTemplate.opsForValue().set("verification_code:" + phoneNumber, verificationCode, Duration.ofMinutes(5));
smsService.sendVerificationCode(phoneNumber, verificationCode); // 发送短信

3.2 验证码校验

4. 获取验证码：从Redis中获取用户手机号对应的验证码。
5. 校验验证码：比较用户输入的验证码与Redis中存储的验证码。
6. 清除验证码：校验成功后，立即清除Redis中的验证码，防止重复使用。

// 示例代码：校验验证码
String userInputCode = request.getVerificationCode();
String storedCode = redisTemplate.opsForValue().get("verification_code:" + phoneNumber);
if (userInputCode.equals(storedCode)) {
    redisTemplate.delete("verification_code:" + phoneNumber); // 清除验证码
    // 继续登录或注册逻辑
} else {
    throw new RuntimeException("验证码错误");
}

3.3 用户登录与注册

7. 查询用户信息：根据手机号查询MySQL数据库，判断用户是否存在。
8. 注册新用户：如果用户不存在，则自动注册新用户。
9. 生成JWT令牌：使用用户信息生成JWT令牌，并存储到Redis中。

// 示例代码：用户登录与注册
User user = userRepository.findByPhoneNumber(phoneNumber);
if (user == null) {
    user = new User();
    user.setPhoneNumber(phoneNumber);
    userRepository.save(user); // 注册新用户
}
String jwtToken = jwtUtil.generateToken(user); // 生成JWT令牌
redisTemplate.opsForValue().set("jwt_token:" + phoneNumber, jwtToken, Duration.ofHours(1)); // 存储令牌
return jwtToken; // 返回令牌给客户端

3.4 JWT令牌管理

10. 令牌生成：使用用户唯一标识（如用户ID或手机号）生成JWT令牌。
11. 令牌存储：将JWT令牌存储到Redis中，设置有效期（如1小时）。
12. 令牌验证：在后续请求中，客户端携带JWT令牌，后端从Redis中验证其有效性。

4. 安全性考虑

13. 验证码有效期：验证码的有效期应设置为较短时间（如5分钟），防止暴力破解。
14. 令牌有效期：JWT令牌应设置合理的有效期，并在Redis中存储以支持主动失效。
15. 防止重放攻击：通过验证码一次性使用和令牌有效期限制，防止重放攻击。
16. 数据加密：敏感信息（如手机号）在传输和存储时应进行加密。

5. 总结

本文详细介绍了基于手机验证码登录的后端设计与实现，包括验证码生成与发送、验证码校验、用户登录与注册、JWT令牌管理等核心流程。通过合理的系统设计和安全性考虑，可以有效提升用户体验和系统安全性。希望本文能为开发者提供有价值的参考，助力构建高效、安全的登录系统。

附录：

• Redis官方文档
• JWT官方文档
• 阿里云短信服务

如果你有任何问题或建议，欢迎在评论区留言！