security - 如何验证传入的 Twilio 短信？

Question

我基本上是在尝试允许用户使用短信发布到他们的博客。我为每个用户存储了一个电话号码，并且由于 twilio 在他们提交给我的页面的发布请求中发送该信息，我可以进行反向查找以查看将其发布到哪个博客。现在出现的问题是，我如何确定用户发送了文本？难道任何人都不能用别人的电话号码发送帖子信息吗？

对此，我有几个想法:
1. Twilio 在帖子中发送了您的帐号，我想恶意用户不知道该帐号。
2. 我可以用包含随机生成代码的 SMS 进行响应，然后让用户将其发回。这将有效地将 SMS 需求增加三倍，我更喜欢第一个。

第一个“足够安全”吗？或者我应该咬紧牙关并制定第二个响应系统？

Answer 1

您可以验证请求是否来自 Twilio。我们附上 X-Twilio-Signature使用您的身份验证 token (应该只有您知道)签名的每个请求的 header 。每个 Twilio 帮助程序库都有一个函数来帮助确定请求是否由 Twilio 发出。

请参阅我们关于验证请求的文档:http://www.twilio.com/docs/security#validating-requests

或我们用于验证 Twilio 请求的辅助库函数:http://readthedocs.org/docs/twilio-php/en/latest/usage/validation.html#validate-incoming-requests ， 例如。