用户中心二次验证方案

平台平台店铺处理订单应用（大益源子）处理订单的我方应用用户（客服）用户中心（自有账号体系） IDaaS（一个基于用户中心提供二次验证的的服务）御城河（平台的应用合规服务）

近年来国家陆续出台了个人信息保护和数据安全相关的法律法规，对保障消费者个人信息权益、规范数据处理活动提出了更明确的责任要求。为了更好的保障用户信息的安全、提升开发者应用对于用户个人信息的保护及应用自身的安全防护能力，平台因此提出《开发者安全能力标准》。

淘宝平台要求获取消费者个人敏感信息的所有IT类应用对接御城河系统，应用标签包括但不限于：商家后台系统（简称“自研系统”）、国际商家后台系统（简称“自研系统”）、服务商后台系统、订单管理、ERP软件、进销存软件、全渠道ERP，仓储管理系统（WMS）、奇门-商家自研WMS系统等。

对于自有账号体系的应用，都需要对接账号风控，平台建议用户接入淘系账号风控体系，使用淘系账号的应用将默认享有平台提供的账号风控能力，如使用自有账号体系的应用，应具备平台认可的应用身份服务（简称：IDAAS）能力，并开启二次认证等安全策略并回传日志到平台。

注意：无论是接入淘宝账户风控体系，还是自研对接御城河，都需要调整用户中心认证流程。

在修改密码、绑定手机、绑定邮箱、绑定身份证等认证流程时，需要调整认证流程，必须要时需添加二次认证校验。

注意：

如果是自建需要完成除 5 阶段外全部流程，如果对接阿里云 IDaaS ，只需完成 3、4、5 阶段、并对接API，其它由阿里云 IDaaS 控制。

对接阿⾥云应⽤身份服务 IDaaS ，对于我们应用的客户来说，实际上是透明的，他们并不会感知到后端验证的变更。

1、在 IDaaS 创建⼀个应⽤，因为需要使⽤应⽤的 APP Key/Secret。 2、对接 IDaaS 同步相关接⼝，将您的应⽤的账户数据同步到 IDaaS。 3、对接 IDaaS 认证相关接⼝，将您的应⽤的认证请求切换到 IDaaS。