Skip to content
toden
团队分享 · 第 8 页

走进 Toden。

第 8 页

  • 开发者

    将验证状态映射到您的产品状态

    从状态和结果出发驱动你的产品，并在旁边存储 checkStatus 作为解释。将十个状态值分别映射到你系统中的一个状态，并从 verification.status_updated 或轮询中获取最新状态。

  • 开发者

    幂等验证请求：避免重复检查和重复收费

    为每个逻辑验证分配一个请求 ID，在发送请求之前保存该 ID，并在每次重试时重复使用该 ID。重复的请求 ID 会返回已存在的验证，而不是创建并收取第二个验证的费用。

  • 开发者

    可公开密钥和私钥：保护客户端免受验证数据的影响。

    将可发布密钥放在您的应用程序中，并将私钥保存在您的服务器上。可发布密钥可以启动验证并读取最少的状态信息，但绝不会读取身份数据，因此请做好密钥泄露的准备，并尽可能降低泄露造成的损失。

  • 开发者

    在沙箱环境中对验证集成进行端到端测试

    使用已发布的沙箱测试 ID（其最后几位数字决定结果）来驱动代码必须处理的每个结果，然后在切换到正式密钥之前，使用签名的模拟事件测试 webhook 接收器。

  • 产品更新

    在不发布应用版本的情况下更改验证流程

    使用工作流 ID 挂载 SDK，每次验证时都会从服务器获取流程配置。重新发布会更改下次验证的步骤、检查、副本和决策规则，而无需发布应用程序。

  • 开发者

    围绕异步验证结果设计您的产品

    将提交视为状态机的开始，而非请求的结束。显示一个基于验证 ID 的待处理状态，通过 Webhook 更新该状态，并允许状态多次更改。

  • 开发者

    正确验证 webhook 签名并处理重试

    对原始请求字节验证 V2 签名，拒绝重放窗口之外的时间戳，在执行任何工作之前，在唯一约束下记录事件 ID，并且只有在事件被持久存储后才返回 2xx。

  • 开发者

    SDK 嵌入或托管链接：选择如何集成验证

    如果验证过程在产品内部进行，则将 SDK 嵌入其中；如果验证过程在产品外部进行，则向每位申请人发送一个托管链接。无论采用哪种方式，都应运行已发布的流程，这样选择的关键就在于交付方式，而不是流程本身。

  • 风险与合规

    根据非洲数据保护法处理生物识别数据

    这三项法律均将生物识别数据视为特殊类别。尼日利亚对人脸图像进行命名，并将敏感数据限制在特定情况下；肯尼亚将生物识别处理视为高风险；而《个人信息保护法》（POPIA）则禁止在未获得授权的情况下使用生物识别数据。因此，需要制定合法依据、开展数据保护影响评估（DPIA）并采取最小化措施。

  • 风险与合规

    设备和 IP 信号能告诉你什么，不能告诉你什么？

    设备和 IP 信号描述的是手机和连接，而不是用户本身。模拟器和数据中心 IP 地址是强有力的警示信号；共享设备、IP 速度和 IP 位置信息则较为薄弱。应将它们作为佐证，并且仅信任国家/地区级别的 IP 位置信息。

  • 产品更新

    账户接管：加大挑战力度，而不是直接封禁客户。

    如果登录操作疑似账户盗用，切勿猜测。先限制权限，允许会话继续进行，并要求对方提供只有经过验证的本人才能提供的身份证明，例如与其注册信息相符的最新自拍照，之后才能进行任何付款、更改受益人或重置密码的操作。