码验证与SIM Swap是由GSMA Open Gateway倡议下的CAMARA项目标准化的网络API，允许银行或应用程序向移动运营商询问两件事：该电话号码是否确实是用户设备上的号码，以及其SIM是否在近期发生过变更？截至2026年9月26日，我们通过官方渠道确认的唯一中东地区上线情况是卡塔尔，Ooredoo Qatar和Vodafone Qatar已于2025年11月26日推出了这两项API。BroadNet负责提供OTP流量并保护该地区的运营商网络，本文将解释这些API的运作方式以及如何将其与短信OTP结合使用。
核心要点
- 号码验证无需短信验证码即可确认用户输入的号码是否与其所使用的设备号码一致。它返回true或false。
- SIM Swap可告知您号码背后的SIM是否在您选择的时间段内（1至2,400小时，默认为240小时）发生过变更，或者返回最后一次变更的日期。
- 卡塔尔是已确认的中东上线地区：Ooredoo Qatar和Vodafone Qatar已于2025年11月26日在多哈MWC展会上宣布推出这两项API。
- 我们无法通过官方渠道确认阿联酋、沙特阿拉伯、科威特、巴林、阿曼、约旦或埃及的商业化上线情况。在围绕这些功能进行设计之前，请先咨询运营商。
- 号码验证并不能在所有地方取代短信OTP：它需要运营商的支持，并且在其标准流程中需要移动数据连接。请优先在支持该功能的场景下使用，并在无法使用时自动回退至OTP。
- 针对高风险操作的最强防御模式是在发送OTP之前调用SIM Swap，并且如果SIM近期发生变更，则拒绝发送OTP。
什么是GSMA Open Gateway和CAMARA？
GSMA将Open Gateway描述为“一个简化访问移动运营商网络的全球通用网络API框架”(GSMA Open Gateway)。API定义本身源自CAMARA，Ooredoo Qatar的公告将其描述为“由Linux Foundation发起的开源项目，也是GSMA Open Gateway倡议的核心组成部分”。由于每个参与的运营商都执行相同的定义，开发人员只需编写一次集成，即可在支持该定义的网络中重复使用。
根据同一公告（2025年11月），该倡议覆盖了全球80多个移动运营商集团、292个网络以及超过80%的移动连接。加入该倡议并不等同于在特定国家已上线API，因此下方的可用性表仅列出了已确认启动的服务。背景信息请参阅我们关于GSMA Open Gateway的回答。
号码验证API的作用是什么？
在CAMARA定义（版本2.1.0，发布版本r3.2）中，号码验证用于验证或检索“当前由运营商分配给终端用户设备中SIM的移动电话号码”。它有两个端点：
- /verify将用户提供的电话号码（明文或哈希值）与与设备关联的号码进行比对，并返回true或false。
- /device-phone-number返回运营商与设备中SIM关联的电话号码。
它通过基于网络或基于SIM的静默认证工作，“无需用户交互”：无需接收、读取或输入验证码。两个端点都需要为该用户获取三路访问令牌（three-legged access token）。在标准流程（带有prompt=none的OpenID Connect授权码）中，设备必须连接到移动网络。如果您的应用已从设备获取了GSMA TS.43临时令牌，根据定义，API可在包括Wi-Fi在内的任何连接下工作。如需更深入的解释，请阅读我们关于静默网络认证的解答。
SIM Swap API是如何工作的？
CAMARA SIM Swap定义（版本2.1.0，发布版本r3.3）为您提供了两种主要操作：
| 操作 | 您发送 | 返回内容 | 使用场景 |
|---|---|---|---|
| POST /check | 电话号码及maxAge（以小时为单位，范围1至2,400；默认值为240） | swapped：该时段内是否已交换，true或false | 在执行高风险操作前，您需要做出是/否的决策 |
| POST /retrieve-date | 电话号码 | latestSimChange：最后一次SIM交换的时间戳，若未发生交换则为激活日期 | 您根据变更发生的近期程度来评估风险评分 |
在生产环境中，有两个细节至关重要。如果当地法规或运营商政策限制了SIM历史记录的存储时长，运营商可能会针对日期返回null，并可能附带一个monitoredPeriod，说明其覆盖的天数；请将其视为“在监测期间内未发生更换”，而非“从未更换”。此外，如果您请求的maxAge超过了运营商政策允许的范围，请预见会收到400 OUT_OF_RANGE错误。SIM更换是导致账号被盗的常见途径：诈骗者将受害者的号码转移到新的SIM，从而接收其验证码。我们在SIM更换欺诈中的回答详细解释了这种攻击方式。
号码验证和SIM Swap在中东地区的落地情况如何？
截至2026年9月26日，本表仅列出了我们能从运营商或GSMA渠道确认的上线情况。
| 国家 | 运营商 | API | 已公布 | 来源 |
|---|---|---|---|---|
| 卡塔尔 | Ooredoo Qatar, Vodafone Qatar | SIM Swap，号码验证（CAMARA） | 2025年11月26日，MWC Doha | Ooredoo Qatar新闻稿 |
卡塔尔运营商表示，他们计划在2026年增加更多的身份验证和防欺诈API。对于阿联酋、沙特阿拉伯、科威特、巴林、阿曼、约旦和埃及，我们发现这些API尚未在我们可以访问的官方运营商或GSMA页面上进行商业发布。该地区的一些运营商已加入Open Gateway，但加入并不等同于商业化提供API。在您基于此进行开发之前，请咨询运营商或您的消息服务提供商以了解当前状态。有关卡塔尔的消息规则，请参阅我们的 卡塔尔法规页面 和 卡塔尔覆盖范围页面。
Number Verify可以取代OTP验证码短信吗？
仅凭其自身无法取代，且该地区大部分地区也尚未实现。每种方法验证的内容不同，失效的方式也不同。
| 短信OTP | 号码验证 | SIM换卡检测 | |
|---|---|---|---|
| 验证内容 | 用户可以在该号码上接收短信 | 当前使用的设备持有该号码的SIM | 号码背后的SIM最近是否发生变更 |
| 用户操作成本 | 读取并输入验证码（或自动填充） | 无 | 无 |
| 需要运营商API支持 | 否；适用于任何网络 | 是 | 是 |
| 连接 | 任何有信号的手机 | 标准流程中使用移动数据；任何带有TS.43令牌的连接 | 设备上无需安装；这是服务器对服务器的校验 |
| 薄弱环节 | 验证码可能在SIM卡被换绑（SIM Swap）后被拦截，或被钓鱼窃取 | 在运营商尚未推出的地区无法使用 | 其本身并不进行用户身份验证 |
| 最佳角色 | 通用自动回退与第二因子 | 可用时的首选方案 | 在高风险操作执行任何OTP之前的风险信号 |
实际设计采用级联模式：在用户运营商支持的情况下尝试号码验证，在其他所有情况下回退至短信或WhatsApp OTP，并在高风险操作的OTP之前加入SIM交换检查。我们关于静默网络认证以及静默网络认证对比SMS OTP的文章对第一步进行了更深入的探讨。
在发送OTP验证码之前，何时应该调用SIM Swap？
在任何一旦号码被盗就会让诈骗者获利或获得控制权的动作之前。一个简单的决策流程：
- 对操作进行分类。低风险：已知设备上的常规登录。高风险：重置密码、新增收款人、更改电话号码或电子邮件、大额转账、在新设备上的首次登录。
- 对于运营商支持的高风险操作，请使用符合您风险策略的短maxAge（例如24或72小时）来调用POST /check。
- 如果swapped为true，则不要向该号码发送OTP。升级方案：在已注册设备上进行应用内确认、电话回拨，或通过分行或视频核实。
- 如果swapped为false，则照常通过短信或WhatsApp发送OTP，并在通道之间进行自动回退。
- 如果该市场无法使用API，或者返回null，请回退至您现有的规则，并结合号码智能技术，例如 HLR查询 或 电话信誉 分数。
- 将检查结果与交易一同记录，以便欺诈分析师查看为何发送或未发送OTP。
OTP证明了有人可以接收该号码的消息。SIM换卡检查可告知您该用户是否仍为客户本人。对于高风险操作，您需要同时获得这两个答案。
银行如何将SIM换卡检查与OTP相结合？
| 事件 | 网络检查 | 如果检查触发警报 | 否则 |
|---|---|---|---|
| 重置密码 | 发送重置OTP之前调用SIM Swap /check | 拦截OTP；要求在应用内或在网点进行确认 | 发送OTP |
| 新收款人或大额转账 | SIM Swap /check，使用较短的maxAge | 暂缓交易以进行审核 | 发送交易OTP |
| 新客户入驻 | 号码验证 /verify | 自动回退至短信OTP | 跳过OTP步骤 |
| 注册手机号变更 | 对旧号码调用SIM Swap /retrieve-date | 人工审核 | 在旧号码和新号码上同时进行确认 |
BroadNet OTP平台通过短信、WhatsApp和语音发送此流程中的验证码，并支持它们之间的自动回退，而MyOTP将其封装为即用的验证产品。
费用是多少？
价格由各运营商或其渠道合作伙伴设定，并经商业协商确定。我们查询的所有官方渠道均未发布这两种API中任何一种的中东价格表，因此我们不提供报价。在比较成本时，请同时考虑验证所节省的成本以及其本身的成本：在密码重置OTP之前进行一次SIM交换验证仅增加了一次API调用，而防止账号被接管的价值远高于此。
网络API对运营商意味着什么？
对于运营商而言，号码验证和SIM交换将网络已持有的数据转化为面向银行和应用程序的付费、基于授权的服务；购买这些服务的欺诈防范团队同时也购买A2P消息服务。BroadNet自2003年起便与运营商开展合作，已部署60多套运营商防火墙；我们的运营商解决方案和短信防火墙保护着与这些API并行的消息业务收入。
常见问题
什么是CAMARA号码验证API？
一种标准的运营商API，用于确认用户提供的电话号码是否与其使用的设备号码一致，并返回true或false，或者返回该设备的号码。它使用静默网络或基于SIM的身份验证，因此无需输入验证码。
SIM Swap API是如何工作的？
您发送一个电话号码。/check操作会在您通过maxAge设置的时长内（1至2,400小时，默认为240小时）返回true或false；/retrieve-date会返回最后一次SIM变更的时间戳，如果从未变更，则返回激活日期。
哪些中东运营商提供这些API？
截至2026年9月26日，我们可以从官方渠道确认的上线情况是卡塔尔：Ooredoo Qatar和Vodafone Qatar已于2025年11月26日推出了SIM Swap和号码验证。在依赖其他国家的运营商之前，请先向其进行确认。
号码验证可以取代短信OTP吗？
仅在用户运营商支持且连接允许的情况下可以。请优先在可用地区使用，并在其他所有地方将短信或WhatsApp OTP作为备选方案。
号码验证在Wi-Fi环境下可以工作吗？
在标准流程中，设备必须连接到移动网络。CAMARA的定义指出，当应用程序使用来自设备的GSMA TS.43临时令牌时，它可以通过包括Wi-Fi在内的任何连接工作。
我是否应该在每次发送OTP验证码之前检查SIM Swap？
不需要。请在进行高风险操作时使用，例如重置密码、添加新收款人、更改号码以及大额转账。对于在已知设备上的常规登录，额外的检查很少会改变决策。
如果运营商无法提供SIM卡更换日期，会发生什么？
它可能会返回null，并可选地附带以天为单位的monitoredPeriod。请将其视为在监测期内没有发生SIM卡更换，并回退到您自己的风险规则。
SIM卡更换API的费用是多少？
价格由各运营商或其渠道合作伙伴设定。我们查询的官方渠道并未公布针对API的中东地区价格。
来源
- Ooredoo Qatar，卡塔尔移动运营商通过GSMA Open Gateway倡议推出反欺诈API，2025年11月26日，访问日期：2026年9月26日。
- CAMARA，号码验证API定义，版本r3.2，访问日期：2026年9月26日。
- CAMARA，SIM Swap API定义，版本r3.3，访问日期：2026年9月26日。
- CAMARA项目页面，号码验证 与 SIM Swap，访问日期：2026年9月26日。
- GSMA，GSMA Open Gateway，访问日期：2026年9月26日。