OTP למפתחים: חבילות קוד ל-Node.js, Python ו-PHP

שולחים קוד אימות ב-SMS ובודקים אותו בכמה שורות קוד, בלי לבנות בעצמכם את יצירת הקוד, התוקף, מגבלת הניסיונות וזמן ההמתנה.

שליחת קוד אימות היא קריאה אחת ל-API (ההסבר המלא כאן). מה שמסביב לה הוא העבודה: ליצור קוד אקראי, לשמור אותו בצורה בטוחה, לבדוק שהוא עדיין בתוקף, לחסום ניחושים, ולא לשלוח עשרה מסרונים למי שלוחץ עשר פעמים על "שלח שוב". החבילות של מסר 10 עושות את כל זה, ונכתבו כך שיתנהגו אותו דבר בשלוש השפות.

מה החבילות עושות

• יוצרות קוד אקראי (6 ספרות כברירת מחדל) ושולחות אותו ב-SMS דרך חשבון מסר 10 שלכם.
• שומרות את הקוד רק כגיבוב עם מפתח סודי (HMAC), אף פעם לא כטקסט.
• קוד עובד פעם אחת, פג אחרי 5 דקות כברירת מחדל, וננעל אחרי 5 ניסיונות שגויים.
• קוד חדש לאותו מספר רק אחרי זמן המתנה (60 שניות כברירת מחדל).
• המגבלות נספרות בפעולה אטומית ב-store שמשותף לכל השרתים, כך שבקשות במקביל לא עוקפות אותן.
• בלי תלויות חיצוניות (ב-PHP נדרשות רק ההרחבות json ו-curl), עם בדיקות אוטומטיות על Node 18, 20 ו-22, Python 3.8 ו-3.12 ו-PHP 7.4 ו-8.3.

התקנה

Node.js, מ-npm:

npm install @meser10/otp

Python, ישירות מ-GitHub:

pip install "git+https://github.com/meser10/meser10-otp#subdirectory=python"

PHP, עם Composer:

composer config repositories.meser10-otp vcs https://github.com/meser10/meser10-otp
composer require meser10/otp:^1.0

מה צריך מחשבון מסר 10: יתרת SMS, מפתח API (הגדרות משתמש, מפתח API) ושם שולח מאושר, עד 11 אותיות באנגלית או ספרות, או מספר נייד שאומת בחשבון. בנוסף צריך סוד אקראי של 16 תווים לפחות, זהה בכל השרתים, שאיתו נחתמים הקודים השמורים.

Node.js

const { Meser10Otp, Meser10Error } = require('@meser10/otp');

const otp = new Meser10Otp({
  apiKey: process.env.MESER10_API_KEY,
  sender: 'MyShop',
  secret: process.env.OTP_SECRET,
  message: 'Your MyShop code is {code}',
});

async function main(userInput) {
  await otp.sendCode('054-123-4567');
  try {
    await otp.verifyCode('054-123-4567', userInput); // true
  } catch (e) {
    if (e instanceof Meser10Error) console.log(e.code); // wrong_code, locked...
  }
}

ב-Next.js, route אחד שמטפל גם בשליחה וגם בבדיקה:

// app/api/otp/route.js
import { Meser10Otp, Meser10Error } from '@meser10/otp';
import { redisStore } from '@/lib/otp-store';

const otp = new Meser10Otp({ apiKey: process.env.MESER10_API_KEY, sender: 'MyShop', secret: process.env.OTP_SECRET, store: redisStore });

export async function POST(req) {
  const { phone, code } = await req.json();
  try {
    if (code) return Response.json({ ok: await otp.verifyCode(phone, code) });
    await otp.sendCode(phone);
    return Response.json({ sent: true });
  } catch (e) {
    if (e instanceof Meser10Error) return Response.json({ error: e.code }, { status: 400 });
    throw e;
  }
}

Python

import os
from meser10_otp import Meser10Otp, Meser10Error

otp = Meser10Otp(os.environ["MESER10_API_KEY"], sender="MyShop", secret=os.environ["OTP_SECRET"])

otp.send_code("054-123-4567")
try:
    otp.verify_code("054-123-4567", user_input)   # True
except Meser10Error as e:
    print(e.code)

PHP

use Meser10\Otp\Otp;
use Meser10\Otp\RedisStore;
use Meser10\Otp\Meser10Error;

$redis = new Redis();
$redis->connect('127.0.0.1');

$otp = new Otp([
    'apiKey' => getenv('MESER10_API_KEY'),
    'sender' => 'MyShop',
    'secret' => getenv('OTP_SECRET'),
    'store'  => new RedisStore($redis),
]);

$otp->sendCode('054-123-4567');
try {
    $otp->verifyCode('054-123-4567', $_POST['code'] ?? ''); // true
} catch (Meser10Error $e) {
    echo $e->errorCode;
}

store משותף

בשרת אחד שרץ ברציפות אפשר להשתמש בברירת המחדל של Node ו-Python, ששומרת בזיכרון. בכל מצב אחר, כמה שרתים, כמה workers או serverless, מעבירים store שמשותף לכולם. ה-store צריך ארבע פעולות: get, set, delete ו-incr אטומי. ה-incr הוא מה ששומר על מגבלת הניסיונות ועל זמן ההמתנה גם כשמגיעות כמה בקשות באותו רגע. ב-README של כל חבילה יש store מוכן על Redis.

הגדרות

ב-Python שמות ההגדרות באותיות קטנות עם קו תחתון, למשל code_length ו-ttl_seconds.

שגיאות

כל שגיאה מגיעה עם קוד קבוע, כך שאפשר להציג לגולש הודעה מתאימה:

כדאי להוסיף מעל החבילה גם מגבלה לפי כתובת IP ולפי חשבון: כל קוד הוא מסרון בתשלום.

קוד פתוח

הקוד של שלוש החבילות נמצא ב-GitHub, ברישיון MIT, עם הבדיקות האוטומטיות:

https://github.com/meser10/meser10-otp

שאלות נפוצות

עוד באותו נושא: OTP: קוד אימות חד-פעמי ב-SMS, תוסף OTP לוורדפרס וה-API למפתחים.