ThinkPHP短信验证码需兼顾安全与精准控制：选对SDK（如easy-sms或alibabacloud/sdk）、严格校验手机号与模板变量、Redis缓存须用标签机制+Lua原子限频、业务层主动兜底频率控制。
在 ThinkPHP 中实现短信验证码，核心不是“能不能发”，而是“发得安全、控得精准”。高频误触、恶意刷码、缓存失效、签名错误——这些问题往往不是代码写错，而是设计缺位。下面从四个关键环节讲清怎么做才稳妥。
选对 SDK，避开手动拼参的坑
别自己写 cURL 构造阿里云请求。签名算法要求参数字典序排序、时间戳校验、Signature 加密，漏一项就返回 InvalidParameter 或 InvalidTimeStamp.Expired。推荐两条成熟路径：
-
TP6/TP8 项目：用
overtrue/easy-sms，执行composer require overtrue/easy-sms -vvv，它已内置阿里云、腾讯云等网关适配，自动处理编码、签名、异常映射； -
TP8 或需深度控制场景：用官方新 SDK
alibabacloud/sdk（非废弃的 aliyun-openapi-php-sdk），执行composer require alibabacloud/sdk，删干净旧 SDK 残留，确保时区设为'Asia/Shanghai'，否则签名必失败。
手机号与模板变量必须严格校验
SDK 不做输入过滤，传错就直接触发平台限流或静默失败：
- 手机号必须用正则
/^1[3-9]\d{9}$/验证，不能只靠前端 JS； - 模板变量名要和阿里云控制台里写的完全一致，比如模板内容是
您的验证码是${code}，发送时就得传['code' => '123456']； - TemplateParam 必须是 JSON 字符串（easy-sms 自动处理），若手动调 SDK，传 PHP 数组会导致签名失败。
Redis 缓存设计决定防刷是否真实有效
很多项目用 Cache::set('sms:138****1234', $code, 300) 就以为防刷完成了，其实隐患很大：
立即学习“PHP免费学习笔记（深入）”；
- 键名带冒号（如
sms:138****1234）在 Redis 驱动下会变成:sms:138****1234，导致批量清理失效；应统一用标签机制：Cache::tag('sms')->set($key, $value, $ttl)； - 文件缓存（File 驱动）在多机部署时完全不可用，生产环境必须用 Redis 或 Memcached；
- TTL 别只设 5 分钟，防刷窗口建议独立设计：比如 60 秒内最多 1 次，1 小时内最多 5 次，用 Lua 脚本保证原子性，避免 INCR + EXPIRE 的竞态漏洞。
频率限制不能只靠平台，后端必须主动兜底
阿里云默认单手机号 60 秒冷却、QPS=5、日上限 1000 条，但这些只是最后防线。业务层不控，容易因模板 ID 错、手机号格式错等无效请求被识别为攻击，导致 IP 或 AppKey 被临时封禁：
- 发送前查缓存：若该手机号 60 秒内已有成功发送记录，直接拒绝；
- 失败请求也计入频次（如验证码生成失败、网络超时），避免反复重试；
- 高并发场景下，用 Redis + Lua 实现滑动窗口计数，失败时降级为本地内存计数（仅限单机调试），并记录告警日志。
