上周有个做培训的客户找过来，网站是 WordPress 搭的，问题很具体：学员老说收不到找回密码的邮件，进了垃圾箱也不知道，客服每天手动帮人重置密码。他想改成手机号收验证码。这类需求我们接过不少，WordPress短信验证码本身不复杂，麻烦的是改的位置和上线前的防护。
WordPress 自带的账号体系是围绕邮箱设计的，注册要邮箱，找回密码也是发邮件链接。要加手机验证，实际上是在两个地方插一道关：注册时确认手机号是本人的，找回密码时用短信代替邮件链接。
接WordPress短信验证码之前要准备什么
动手前有三样东西要先就位，缺一样都得停下来等。
图 1：接入前先把签名、模板和接口参数准备好，缺一样都得停下来等。
- 短信账号和签名：在短信平台开通账号，提交短信签名，一般用网站或公司的简称。签名审核通过才能发。
- 验证码模板：内容类似“您的验证码是{验证码}，5分钟内有效，请勿泄露给他人。”模板也要审核，验证码类审核通常比营销类快。
- 接口参数：平台给的账号、密钥和接口地址。密钥别写进主题文件里，放到 wp-config.php 里用常量定义，换主题时不会丢，也不会跟着主题包被人下载走。
还有一件常被忘的事：用户表里得有地方存手机号。WordPress 默认没有手机号字段，一般存在用户元数据里，后面登录、找回都靠它查人。
用wordpress短信插件还是自己写
两条路都走得通，看网站情况选。
wordpress短信插件的好处是快。装上、填接口参数、勾选要启用的页面，半天就能跑起来。适合标准的注册、登录页面，没怎么改过主题的站。要留意的是，很多插件默认只对接少数几家短信通道，你用的平台不在列表里，就得看插件有没有“自定义接口”选项，没有的话还得改代码。
自己写的好处是可控。用 WordPress 的钩子在注册表单加手机号和验证码输入框，提交时校验，校验不过就返回错误。找回密码那边改动大一些，相当于自己做一个“输入手机号、收验证码、设新密码”的小流程。适合用了会员插件、WooCommerce 或者自定义登录页的站，因为这些站的表单往往不是默认那套，通用插件挂不上去。
我们的经验是：站点越接近原生 WordPress，越适合插件；表单被改过很多次的，直接写代码反而省时间。
注册页怎么加WordPress短信验证码
注册环节的逻辑就三步：用户填手机号，点“获取验证码”，后台生成一个随机码存起来并调用短信接口；用户把收到的码填回来，提交注册时比对。
验证码存在哪
别存在前端，也别明文放在 Cookie 里。常见做法是用 WordPress 的临时数据（transient）按手机号存，带过期时间，到点自动失效。验证一次成功后马上删掉，防止同一个码被反复使用。
手机号要不要查重
要。同一个手机号注册两个账号，后面找回密码就不知道该给哪个号重置。点击“获取验证码”时就查一下，已注册的直接提示去登录，还能省一条短信。
找回密码改成短信验证
这一步比注册多一个顾虑：找回密码是攻击者最爱试的入口。流程上建议这样排：输入手机号 → 通过图形验证或滑块 → 发短信验证码 → 校验通过后给一个一次性的重置凭证 → 设置新密码。
页面提示也要注意。手机号不存在时，不要直接说“该手机号未注册”，统一提示“如果该号码已绑定账号，你会收到验证码”，免得被人拿来批量试探哪些号码注册过。
老用户怎么办？很多站加短信功能之前，用户只留了邮箱。可以让他们登录后在个人资料页补绑手机号，绑定时同样走一次验证码。没绑过的人，邮件找回先保留着，别一刀切关掉。
上线前必须处理的几个坑
**发送频率要限制。**同一手机号两次发送之间设冷却时间，比如 60 秒；同一号码、同一 IP 每天也设上限。不设的话，有人写个脚本反复点“获取验证码”，短信费就这么被刷掉了，平台还可能因为异常量暂停你的账户。
缓存插件会坏事。很多站开了页面缓存，注册页被缓存后，表单里的安全令牌过期，用户提交时报错。注册、登录、找回密码这几个页面要在缓存插件里排除掉。
**验证码有效期别太长。**几分钟就够，过期了让用户重新获取。同一个码允许输错的次数也要限制，错几次就作废。
测试别只用一个号。移动、联通、电信各找一个号试一遍，再试一次输错、过期、重复提交的情况，日志里能看到每次调用接口的返回结果，出问题好排查。
结论
WordPress短信验证码的接入，核心就是在注册和找回密码两个环节各加一道手机验证：前期准备好签名、模板和接口密钥，标准站点用wordpress短信插件快速上线，表单改过的站自己用钩子写；上线前把发送频率、缓存排除、有效期和三网测试做完。蔚岚科技提供验证码短信接口，也做 WordPress 和定制网站的开发对接，可以看看短信群发服务和网站建设，或者直接打 18720919319 聊你的站点情况。
常见问题
WordPress短信验证码收不到是什么原因？
先看接口返回结果。常见的是签名或模板还没审核通过、账户余量不足、手机号格式带了空格或加号。接口返回成功但用户没收到，再看是不是被手机安全软件拦了。
用了 WooCommerce 能直接装插件吗？
能不能用看插件是否支持 WooCommerce 的“我的账户”页面。WooCommerce 的注册和登录表单和原生不一样，买插件前先确认这一点，不支持的话只能改代码。
手机号能不能直接当登录账号？
可以，登录时按手机号去用户元数据里查对应账号，再校验密码或验证码。不过用户名字段还是要有，可以自动生成一个，不要让它为空。
验证码短信和营销短信能共用一个账号吗？
账号可以是同一个，但模板分开报备，最好走不同的通道类型。验证码对时效要求高，混在营销任务里发容易排队变慢。
不懂代码能自己接吗？
用插件的话，会改后台设置就能完成大部分工作。遇到主题不兼容、表单挂不上去的情况，就需要懂 PHP 的人来改，或者交给开发团队处理。