PHP客户端PIN安全性

Question

我目前正在开发一种系统,其功能是客户可以通过提供PIN"号码"查看其购买/续订/等的详细信息.

由于我们定位的客户类型,正在使用PIN而不是登录信息.PIN将打印在发送给他们的文档上.

提供PIN时显示的视图不会显示高度敏感的信息,如信用卡等,但不太敏感,如产品名称,类型,价格,条形码,维修等.

有问题的是PIN.我选择使用随机5个字符的PIN码(0-9,az AZ) - 区分大小写.我将删除一些同形字符('我','1','l','0','O','rn','vv'),所以组合的实际数量实际上更低.

我有几个问题:

1. 这种做法可以接受吗？
2. 我应该编写一个锁定机制,以便在尝试大量失败的情况下"禁止"来自IP的流量吗？*
3. 我应该写一个错误检查系统(类似于信用卡号码中的Luhn算法)吗？
4. *我应该使用验证码系统吗？

Answer 1

1）是的，但这取决于目标受众。2）有时它是有意义的，有时它不起作用，因为系统的使用方式以及共享IP号码上有多少客户端。3）它会增加什么价值？这难道不会帮助人们找到有效的 PIN 码吗？4) 取决于目标受众以及验证码类型。