didit-phone-verification

核心用法

Didit Phone Verification Skill 提供标准化的两步手机验证流程。首先调用 /v3/phone/send/ 接口向目标号码发送一次性验证码，支持 SMS（默认回退）、WhatsApp、Telegram 及语音电话四种渠道，并自动在首选渠道不可用时降级至 SMS。开发者需提供 E.164 格式的国际电话号码（如 +14155552671），可配置验证码长度（4-8位）、本地化语言及设备指纹等欺诈检测信号。

第二步调用 /v3/phone/check/ 接口验证用户输入的代码，系统支持基于策略的自动拒绝机制，可配置对重复号码、一次性临时号码（Disposable）或 VoIP 虚拟号码的拦截策略。整个流程受限于严格的安全策略：验证码5分钟有效、每码最多3次验证尝试、每号码每小时最多4次发送、24小时内最多2次重发。

显著优点

该 Skill 的核心优势在于其多渠道智能投递能力，能根据用户所在地区自动选择 WhatsApp、Telegram 或 SMS 最优路径，显著提升送达率。其内置的反欺诈引擎可实时检测高风险号码、提取运营商信息（包括号码类型识别：移动/固话/VoIP），并支持通过 IP 地址、设备ID等信号进行风险评分。

对企业级应用而言，其细粒度的策略控制极具价值——开发者可在验证环节配置是否自动拒绝虚拟号码或重复使用的手机号，有效防范批量注册、羊毛党等恶意行为。此外，详尽的响应数据（国家代码、运营商名称、验证方法、生命周期记录）为后续审计和用户画像提供了丰富数据支撑。

潜在缺点与局限性

首要限制在于强外部依赖性：所有验证逻辑完全依赖 Didit.me 第三方服务的可用性与合规性，一旦服务商出现网络故障或政策调整，将直接影响业务连续性。其次存在严格的速率限制（4次/小时/号码），对于高并发场景或 resend 频繁的业务可能产生瓶颈。

成本方面，虽然 Skill 本身开源，但 Didit API 为商业服务，需预充值或订阅，且语音通道成本通常高于短信。此外，号码格式要求严格（必须 E.164），对历史数据非标准化或用户输入习惯差异大的系统需要额外的格式转换层。最后，作为 T3 来源的社区项目，缺乏企业级 SLA 保障与长期维护承诺。

适合的目标群体

该 Skill 最适合需要强身份验证的互联网应用开发者，特别是金融科技、跨境电商、社交网络及共享经济平台的产品团队。对于正在构建 KYC（了解你的客户）流程、需要防范虚假账号注册或实施双因素认证（2FA）的中小型企业，此方案提供了比自建短信网关更快速、更安全的集成路径。

同时，对于已有 Didit 业务账户的企业，该 Skill 提供了标准化的代码封装，可减少重复开发。安全审计团队也会欣赏其透明的数据流（无本地持久化敏感数据）和明确的隐私边界。

使用风险

性能风险：由于涉及跨网络 API 调用，延迟通常在 200ms-2s 之间，在弱网环境或服务商高峰期可能出现超时，建议实现异步发送与重试机制（注意最多2次重发限制）。成本控制风险：语音验证成本较高，若未在前端限制用户频繁切换通道或重发，可能导致意外账单。隐私合规风险：虽然 Skill 本身不存储数据，但传输手机号至 Didit 服务涉及 GDPR/CCPA 等数据跨境传输合规要求，需确保用户协议中明确披露第三方处理商。配置风险：API 密钥通过环境变量 DIDIT_API_KEY 注入，若配置不当（如日志打印、误提交至 Git）可能导致密钥泄露，建议配合密钥管理服务使用。