ASP.NET 标识中的 GenerateChangePhoneNumberToken 方法生成重复的安全代码

Question

我们在 MVC 应用程序中使用 ASP.net 身份。每当用户更改电话号码或密码时，我们将通过电子邮件或SMS 向用户发送安全代码。我们将对用户验证安全码，如果有效，我们将允许用户更改电话号码或密码。

我们正在使用ASP.net身份提供的GenerateChangePhoneNumberToken方法生成安全码。

var securityCode = UserManager.GenerateChangePhoneNumberToken(
                                                user.Id, model.MobileNumber);   

HTML

   <div class="text-center top-space" id="validate_code_email">
      <button id="send_via_email" class="submit-btn login-btn-align material_button" data-role="button" onclick="sendCodeViaEmail()">Send a New Code Via Email</button>
   </div>

jQuery

 function sendCodeViaText() {          
        var model = { 'UserId': userIdentityId };
        $.ajax({
            url: "/api/accountwebapi/SendVerificationEmail",
            type: "POST",
            data: model,
            dataType: "json",
            success: function (data) {

            },
            error: function (e) {

            }
        });

发送安全码的API控制器方法

  public IHttpActionResult SendVerificationEmail([FromBody] VerifyPhoneNumberViewModel model)
  {
       try
       {
           if (model != null)
           {
               var user = UserManager.Users.Where(a => a.Id == model.UserId).FirstOrDefault();
               if (user != null)
               {
                   var code = UserManager.GenerateChangePhoneNumberToken(
                                                                 user.Id, user.PhoneNumber);
                   UserManager.SendEmail(user.Id,
                                "Confirm your account",
                                                        "Your security code is: " + code);
                   return Ok(new { success = true, PhoneNumber = user.PhoneNumber, UserId = user.Id, message = C.RESENDVERIFICATIONCODEEMAILSUCCESS });
               }
           }
           else
           {
               return Ok(new { success = true, message = C.RESENDVERIFICATIONCODEEMAILSUCCESS });
           }
           return Ok(new { success = false, message = C.TRYAGAIN });
       }
       catch (Exception e)
       {
           LogError(e.Message, e);
           throw;
       }
   }

我们在生成和验证安全代码方面没有问题。我们面临的唯一问题是GenerateChangePhoneNumberToken 方法生成重复代码。

Click one - Security Code : 123456 User ID : 1 

Click two - Security Code : 123456 User ID : 1 

一分钟后它会生成不同的代码

Click three Security Code : 123457 User ID : 1 

因此，如果用户连续单击它会生成重复的安全代码。如何预防这个问题？请帮忙...

Answer 1

这是设计使然。用于电话确认的安全令牌取决于用户记录、电话号码和时间上的SecurityStamp。鉴于电话号码和安全印章未更改，您将每 3 分钟获得一次新代码。

参见source code，方法public static int GenerateCode(SecurityToken securityToken, string modifier = null)。甚至还有评论// Allow a variance of no greater than 90 seconds in either direction
如果你深入代码，你会或多或少得到这个sn-p：

DateTime _unixEpoch = new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc);
TimeSpan _timestep = TimeSpan.FromMinutes(3);

var delta = DateTime.UtcNow - _unixEpoch;
var currentTimeStep = (ulong)(delta.Ticks / _timestep.Ticks);

而且时间步长仅每 3 分钟更改一次。

如果生成多个相同的确认代码是个问题，我建议您更改 UI 以防止这种情况发生 - 一旦发送代码，禁用或删除要求执行此操作的按钮。从讨论中我了解到这是通过 ajax 请求在客户端完成的 - 这应该不是一个主要问题。