手机换绑必须先验证旧号再绑定新号，流程包括旧号短信校验、新号格式与占用校验、双验证码+二次确认、数据库原子更新及通知清理，确保安全闭环。
手机绑定表单的换绑验证，核心是“先验证旧号、再绑定新号”，确保操作人是原手机号持有者。不能跳过旧号验证直接换绑，否则存在安全风险。
一、换绑前必须校验旧手机号
用户点击“更换手机号”后，前端应立即触发旧手机号的短信验证码校验流程：
- 调用后端接口发送验证码到当前已绑定的手机号（非用户输入的新号）
- 前端显示倒计时按钮，禁用重复发送；后端需限制同一号码60秒内仅发1次
- 用户填写收到的6位验证码，提交至后端比对；校验失败则提示“旧手机号验证码错误”，不进入下一步
二、旧号验证通过后，才允许输入新手机号
只有旧号验证码正确，表单才解锁“新手机号”输入框和“获取新号验证码”按钮：
- 新手机号需做基础格式校验（如11位、以1开头、运营商号段等），避免无效输入
- 点击“获取验证码”时，后端需校验该新号未被其他账号绑定（查user表或bind_phone表）
- 若新号已被占用，返回明确提示：“该手机号已被其他账号使用，请更换”
三、双验证码+二次确认，完成换绑
用户填入新号验证码后，不直接生效，需增加一次显式确认动作：
立即学习“前端免费学习笔记（深入）”；
- 弹出确认浮层或跳转确认页，显示“即将把账号绑定手机从【138****1234】更换为【159****5678】”，并要求勾选“我已确认此操作”
- 提交时，后端同时校验：旧号验证码有效且未过期、新号验证码正确、新号未被占用、用户登录态有效
- 全部通过后，原子化更新数据库：清空旧号绑定关系，写入新号绑定记录，并记录操作日志（含时间、IP、旧新号码脱敏）
四、换绑成功后同步清理与通知
换绑不是终点，还需保障状态一致性和用户体验：
- 立即清除该用户所有设备上的旧手机号缓存（如Redis中的phone_hash）
- 向旧手机号发送通知短信：“您的账号已于X月X日更换绑定手机，如非本人操作请速联系客服”
- 向新手机号发送欢迎短信：“您已成功绑定账号，下次登录可用此号接收验证码”
- 前端跳转至“绑定成功”页，并自动退出登录（强制重新验证身份，防止他人借机持续操作）
整个流程重在分步隔离、逐层校验，不省略任一环节。旧号验证是门槛，新号查重是前提，双验证码是凭证，二次确认是留痕，通知与清理是闭环。安全和体验，缺一不可。
