如何验证传入的 Twilio 短信？答案

【问题标题】：How can you verify an incoming Twilio sms?如何验证传入的 Twilio 短信？
【发布时间】：2012-04-11 10:18:10
【问题描述】：

我基本上是在尝试允许用户使用短信在他们的博客上发帖。我为每个用户存储了一个电话号码，并且由于 twilio 在他们提交给我的页面的发布请求中发送了该信息，因此我可以进行反向查找以查看将其发布到哪个博客。现在出现了问题，我如何确定用户发送了文本？任何人都不能用别人的电话号码发送帖子信息吗？

我对此有几个想法： 1. Twilio 在帖子中发送您的帐号，我想恶意用户不知道该帐号。 2. 我可以回复一条包含随机生成代码的短信，然后让用户将其发回。这将有效地使 SMS 需求增加三倍，我更喜欢第一个。

第一“足够安全”吗？还是我应该像第二个那样硬着头皮做一个响应系统？

【问题讨论】：

【解决方案1】：

您可以验证请求是否来自 Twilio。我们为每个请求附加一个X-Twilio-Signature 标头，该标头使用您的身份验证令牌（只有您自己知道）签名。每个 Twilio 帮助程序库都有一个函数来帮助确定请求是否由 Twilio 发出。

【讨论】：

这个问题不是更多的是关于验证用户而不是验证 Twilio 吗？ ... UserA 向 Twilio 发送短信#，Twilio 提醒服务，服务验证 UserA 的身份 ...需要验证的部分是第一条短信。
我不这么认为。对于入站 SMS，Twilio 向您指定的 URL 发出 HTTP 请求。作者担心任何人都可以“伪造”该 HTTP 请求并发布到该人的博客。这就是 Twilio 签署请求的原因。
我明白了。我读到“任何人都不能用别人的电话号码发送帖子信息吗？”并考虑了来电显示欺骗而不是非法请求 URL 活动。
我认为任何 Twilio 消费者都应该检查 X-Twilio-Signature 标头的真实性。无论如何，正如 James 提到的那样，这不能防止来电者 id 欺骗（这就是新闻国际中发生的事情黑客丑闻）。更安全的解决方案可能是在 SMS 中嵌入 3 或 4 位/字符的 pin 码。