เจาะลึกระบบ SMS 2FA ใน Node/Express: ซื้อสำเร็จรูปหรือพัฒนาเองดี?

สำหรับแบ็กเอนด์ Node/Express ทั่วไป การใช้บริการ SMS 2FA แบบจัดการสำเร็จรูปจะเหมาะสมก็ต่อเมื่อแอปพลิเคชันของคุณมีความสามารถในการตรวจสอบสถานะการส่ง จัดการการส่งข้อความซ้ำ และกำหนดนโยบายสำรองข้อมูลได้ด้วยตนเอง แต่หากการตัดสินใจเหล่านี้จำเป็นต้องครอบคลุมหลายช่องทางในทันที การเลือกใช้ระบบประสานการสื่อสารแบบเรียลไทม์จะเป็นทางเลือกที่ตอบโจทย์กว่า

คำตอบสั้นๆ สำหรับการเข้าสู่ระบบด้วย Node/Express แบบง่ายคือ ให้คงสถานะการยืนยันตัวตนไว้ภายในแอปพลิเคชัน ตรวจสอบสถานะการส่ง SMS ก่อนที่จะเสนอให้ส่งรหัสซ้ำ และจัดเตรียมเส้นทางการกู้คืนบัญชีแยกต่างหากหลังจากพ้นกำหนดเวลาการตรวจสอบสถานะแล้ว สำหรับผู้ให้บริการ SaaS ที่ทำคนเดียว มุมมองที่มีประโยชน์ที่สุดคือรายได้ต่อชั่วโมงของวิศวกร จงส่งมอบงานทุกสัปดาห์ ส่งงานขนส่งข้อมูลที่ไม่ซับซ้อนให้ภายนอกจัดการ แต่ห้ามส่งมอบการตัดสินใจเรื่องการเข้าสู่ระบบให้ผู้อื่นเด็ดขาด

แนวทางปฏิบัติคือให้มองการสร้างรหัส OTP การส่งข้อความ และการตรวจสอบรหัส เป็นข้อเท็จจริงที่แยกออกจากกัน คำขอส่งข้อความสามารถได้รับการยอมรับในขณะที่สถานะการส่งยังไม่เป็นที่แน่ชัด และข้อความที่ส่งถึงแล้วก็ไม่ได้เป็นเครื่องพิสูจน์ว่าผู้ที่กำลังป้อนรหัสเป็นเจ้าของบัญชีนั้นจริงๆ ดังนั้นแอปพลิเคชันจึงจำเป็นต้องมีบันทึกความพยายามและสถานะการเปลี่ยนผ่านของตนเอง แทนที่จะพึ่งพาเพียงค่าบูลีนสถานะการส่งที่บอกว่าส่งแล้วเพียงอย่างเดียว

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

โมเดลสถานะแอปพลิเคชันที่กะทัดรัดอาจประกอบด้วยสถานะต่างๆ เช่น created, delivery_pending, retry_available, verified และ expired ซึ่งสถานะเหล่านี้เป็นสถานะภายในระบบ ไม่ใช่ฟิลด์การตอบกลับจากผู้ให้บริการภายนอก หลังจากร้องขอรหัส OTP ระบบจะต้องบันทึกตัวระบุข้อความที่ส่งกลับมาพร้อมกับความพยายามในการเข้าสู่ระบบครั้งนั้น และตรวจสอบสถานะตามตารางเวลา หากการส่งไม่สำเร็จ ให้เปิดให้มีการส่งซ้ำภายใต้ขอบเขตที่จำกัด หรือย้ายผู้ใช้งานไปยังวิธีการกู้คืนทางเลือกอื่น ส่วนการตรวจสอบรหัสยังคงเป็นการดำเนินการที่แยกต่างหาก ตามด้วยการสร้างเซสชันก็ต่อเมื่อการตรวจสอบของแอปเองผ่านแล้วเท่านั้น