APP端实现图形验证码

[国产_凌凌漆]

PC做图形验证码，一般会采用SESSION的方法，SESSION产生的ID会被记录在浏览器的COOKIE里，用于标识一个客户端。
1、那么APP也采用SESSION做法会有问题吗，APP能传输SESSION_ID上来服务器吗？

场景，发送短信接口被刷，目前除了加IP限制以外（对方有IP代理，不是长久之计），打算加图形验证码，问题来了
2、如果要实现第三次发送短信才出来图形验证码，那么是不是就没意义了，我觉得第一、二次不需要图形验证码，要实现这一点得有个身份标识，只要对方不断刷新这个身份标识，是不是就可以无限绕过图形验证码了？

谢谢。

[xuzuning]

APP 通常使用 REST 架构，而 REST 是没有 cookie 的（不过你非要 cookie，也不算违规） 身份的唯一识别是通过 token 进行的

[国产_凌凌漆]

引用 1 楼 xuzuning 的回复:

APP 通常使用 REST 架构，而 REST 是没有 cookie 的（不过你非要 cookie，也不算违规） 身份的唯一识别是通过 token 进行的

那请问下，未登录发送短信注册，这个能防得住黑客一直获取新的身份标识吗？

[justS0]

引用 1 楼 xuzuning 的回复:

APP 通常使用 REST 架构，而 REST 是没有 cookie 的（不过你非要 cookie，也不算违规） 身份的唯一识别是通过 token 进行的

你说的这个身份标识 不应该没某个手机号么， 不是应该用手机号来标识记录获取验证码的么， 如果是手机号 会有什么问题呢？

[xuzuning]

手机号是绝对的隐私，不宜作为公共服务的身份识别标志

[黄袍披身]

引用 2 楼 qq_28492539 的回复:

[quote=引用 1 楼 xuzuning 的回复:] APP 通常使用 REST 架构，而 REST 是没有 cookie 的（不过你非要 cookie，也不算违规） 身份的唯一识别是通过 token 进行的

那请问下，未登录发送短信注册，这个能防得住黑客一直获取新的身份标识吗？[/quote] APP 可以读取手机的idfa码 如果没有可以在本地写点什么东西 提交的时候一起提交做为验证.方式很多 看你怎么想 想怎么防.

[傲雪星枫]

可以用手机的device_id做唯一。 APP可以获取传过来API的。 参考：http://blog.csdn.net/yuxiaohui78/article/details/8241144