短信验证，以及验证码究竟如何送达

它是一种“持有验证”。网站并不是在确认你是谁，而是在确认你手里握着一样只有你才应该拥有的东西。这也是同一套机制会出现在三个不同场景的原因：注册时证明号码真实存在，找回密码时证明号码仍归你所有，登录时充当第二重验证因素。

这也意味着，这项验证的强度取决于你对号码的掌控程度。发往一条你已不再掌控的线路的验证码，保护不了任何人——本页后面所有建议的出发点正在于此。

1. 你提交号码。 网站将其规范为国际格式——+1 208 555 1234——无法解析的号码会直接被拒绝。
2. 网站可能会做运营商查询。 查询会返回所属运营商和线路类型。在这一步失败的号码，在任何短信生成之前就被拒绝了，所以你看到的是“号码无效”，而不是发送失败。
3. 网站生成验证码。 通常是六位数字，以哈希形式存储并设置较短的有效期——一般为五到十分钟——然后交给短信服务商。
4. 服务商进行路由。 经由短信聚合商，送到目标运营商，走双方约定的互联通道。
5. 运营商投递短信，送到持有该号码的终端。
6. 你回填验证码。 网站将其与存储的哈希比对，并检查是否已过期。

六个步骤、四家机构，而只有第二步会给出你能看到的错误提示。之后的每一步，要么送达，要么悄无声息地失败。

大致按真实原因出现的频率排序：

• 号码在查询环节就被拒绝了。 线路类型返回 voip，短信根本没有发出。这是虚拟号码失败最常见的原因，而它看起来像格式错误，并不像拒绝。
• 运营商把它过滤了。 大批量的应用短信会被进行垃圾信息评分，被过滤的短信会被静默丢弃，而不会退回。
• 号码已被注册过。 许多服务规定一个号码只能注册一个账户，不会再向见过的号码发送第二条验证码。
• 路由不存在。 并非每个发送方都能投递到每个目标国家，缺失的路由会在毫无提示的情况下失败。
• 送到了，但已经过期。 一条在队列里排了十一分钟的验证码，面对十分钟的有效期，即使送达也没用了。
• 你被限频了。 短时间内多次请求后，有些服务会停止发送，但仍然显示同一个“已发送”页面。

立即重试只能解决其中一种情况。其余情况，唯一有效的办法是换掉某样东西——号码、线路类型，或者服务本身。

用非本人号码进行验证，有很多再正常不过的理由：

• 用真实的运营商链路（而不是模拟环境）测试你自己的注册或找回密码流程。
• 让工作账户与个人号码分开，或者反过来。
• 人不在美国，却要注册一个要求美国号码的服务。
• 考虑到营销名单的去向，不想把长期使用的号码交给一个素不相识的网站。

也有一种不合理的情况：创建服务方明确不允许的账户。租来的号码改变不了服务条款，靠它建立的账户，正是那种迟早会消失的账户。

需要哪种号码，取决于网站检查什么，以及你需要持有它多久。非 VoIP 号码讲解了拦下大多数虚拟号码的线路类型过滤；虚拟号码厘清了同一名称下的四种不同产品；临时号码说明了号码能保留多久；价格表则在你花钱之前列出每项服务的价格。