-
@ yr
2025-05-17 08:26:13背景：WhatsApp的号码验证与运营商合作关系
作为一款基于手机号码注册的即时通信应用，WhatsApp的账号验证严重依赖全球电信运营商提供的短信或电话服务。这意味着，当用户注册或在新设备登录WhatsApp时，WhatsApp通常会向用户的手机号码发送SMS短信验证码或发起语音电话验证。这一流程利用了传统电信网络的基础设施，例如通过SS7（信令系统7）协议在全球范围内路由短信和电话securityaffairs.com。换句话说，WhatsApp把初始账户验证的安全性建立在电信运营商网络之上。然而，这种依赖关系也带来了隐患：攻击者可以利用电信网络的漏洞来拦截验证码。例如，研究人员早在2016年就演示过利用SS7协议漏洞拦截WhatsApp和Telegram的验证短信，从而劫持用户账户的攻击方法securityaffairs.com。由于SS7协议在全球范围内连接各国运营商，一个运营商的安全缺陷或恶意行为都可能被不法分子利用来获取他网用户的短信验证码securityaffairs.com。正因如此，有安全专家指出，仅依赖短信验证不足以保障账户安全，WhatsApp等服务提供商需要考虑引入额外机制来核实用户身份securityaffairs.com。
除了技术漏洞，基于电信运营商的验证还受到各地政策和网络环境影响。WhatsApp必须与全球各地运营商“合作”，才能将验证码送达到用户手机。然而这种“合作”在某些国家可能并不顺畅，典型例子就是中国。在中国大陆，国际短信和跨境电话常受到严格管控，WhatsApp在发送验证码时可能遭遇拦截或延迟sohu.com。因此，理解WhatsApp在中国的特殊联网和验证要求，需要将其全球验证机制与中国的电信政策和网络审查环境联系起来。下文将深入探讨为什么在中国使用WhatsApp进行号码验证时，必须开启蜂窝移动数据，并分析其中的技术逻辑和政策因素。
中国环境下的特殊问题：为何必须开启蜂窝数据？
中国的网络审查与封锁： WhatsApp自2017年起就在中国大陆遭遇严格封锁。起初，WhatsApp在华的服务受到**“GFW”（防火长城）**的部分干扰——例如曾一度只能发送文本消息，语音、视频和图片消息被封锁theguardian.com。到2017年下半年，封锁升级，很多用户报告在中国完全无法使用WhatsApp收发任何消息theguardian.com。中国官方将WhatsApp与Facebook、Telegram等西方通信平台一同屏蔽，视作对国家网络主权的挑战theguardian.com。鉴于此，在中国境内直接访问WhatsApp的服务器（无论通过Wi-Fi还是本地互联网）都会被防火长城所阻断。即使用户收到了短信验证码，WhatsApp客户端也无法在没有特殊连接手段的情况下与服务器完成验证通信。因此，单纯依赖Wi-Fi等本地网络环境往往无法完成WhatsApp的注册或登陆。很多用户经验表明，在中国使用WhatsApp时需要借助VPN等工具绕过审查，同时尽可能避免走被审查的网络路径sohu.com。
强制Wi-Fi热点与连接策略： 除了国家级的封锁，用户所连接的局域网络也可能影响WhatsApp验证。许多公共Wi-Fi（如机场、商场）采取强制门户认证（captive portal），用户需登录认证后才能上网。对此，WhatsApp在客户端内置了检测机制，当发现设备连入这类强制Wi-Fi热点而无法访问互联网时，会提示用户忽略该Wi-Fi并改用移动数据faq.whatsapp.com。WhatsApp要求对此授予读取Wi-Fi状态的权限，以便在检测到被拦截时自动切换网络faq.whatsapp.com。对于中国用户来说，即便所连Wi-Fi本身联网正常，由于GFW的存在WhatsApp依然可能视之为“不通畅”的网络环境。这也是WhatsApp官方指南中强调：如果Wi-Fi网络无法连接WhatsApp服务，应直接切换到手机的移动数据网络faq.whatsapp.com。在中国，由于本地宽带网络对WhatsApp的封锁，蜂窝数据反而成为相对可靠的通道——尤其在搭配VPN时，可以避开本地ISP的审查策略，实现与WhatsApp服务器的通信sohu.com。
国际短信的运营商限制： 使用移动数据还有助于解决短信验证码接收难题。中国的手机运营商出于防垃圾短信和安全考虑，默认对国际短信和境外来电进行一定限制。许多中国用户发现，注册WhatsApp时迟迟收不到验证码短信，原因可能在于运营商将来自国外服务号码的短信拦截或过滤sohu.com。例如，中国移动默认关闭国际短信接收，需要用户主动发送短信指令申请开通sohu.com。具体而言，中国移动用户需发送文本“11111”到10086（或10085）来开通国际短信收发权限；中国联通和电信用户也被建议联系运营商确认未屏蔽国际短信sohu.com。若未进行这些设置，WhatsApp发送的验证码短信可能根本无法抵达用户手机。在这种情况下，WhatsApp提供的备用方案是语音电话验证，即通过国际电话拨打用户号码并播报验证码。然而境外来电在中国也可能遭到运营商的安全拦截，特别是当号码被认为可疑时zhuanlan.zhihu.com。因此，中国用户经常被建议开启手机的蜂窝数据和漫游功能，以提高验证码接收的成功率sohu.com。一方面，开启数据漫游意味着用户准备接受来自境外的通信（通常也包含短信/电话）；另一方面，在数据联网的状态下，WhatsApp可以尝试通过网络直接完成验证通信，从而减少对SMS的依赖。
移动数据的网络路径优势： 在实际案例中，一些中国WhatsApp用户报告仅在开启蜂窝数据的情况下才能完成验证。这可能归因于蜂窝网络和宽带网络在国际出口上的差异。中国移动、联通等运营商的移动数据可能走与宽带不同的网关路由，有时对跨境小流量的拦截相对宽松。此外，WhatsApp在移动数据环境中可以利用一些底层网络特性。例如，WhatsApp可能通过移动网络发起某些专用请求或利用运营商提供的号码归属地信息进行辅助验证（虽然具体实现未公开，但这是业界讨论的可能性）。总之，在中国特殊的网络环境下，开启蜂窝数据是确保WhatsApp验证流程顺利的重要一步。这一步不仅是为了基本的互联网连接，也是为了绕开种种对国际短信和应用数据的拦截限制，从而与WhatsApp的全球基础设施建立必要的通讯。
PDP Context与IMSI：移动网络验证的技术细节
要理解为什么移动数据对WhatsApp验证如此关键，有必要了解移动通信网络中的一些技术细节，包括PDP Context和IMSI的概念。
PDP Context（分组数据协议上下文）： 当手机通过蜂窝网络使用数据（如4G/5G上网）时，必须先在运营商核心网中建立一个PDP上下文。这实际上就是申请开启一个数据会话，运营商将为设备分配一个IP地址，并允许其通过移动核心网访问互联网datascientest.com。PDP上下文包含了一系列参数（例如APN接入点名称、QoS等级等），描述该数据会话的属性datascientest.comdatascientest.com。简单来说，激活蜂窝数据就意味着创建了PDP上下文，设备获得了移动网络网关分配的IP地址，可以收发数据包。对于WhatsApp验证而言，只有在建立数据连接后，手机才能直接与WhatsApp的服务器交换数据，例如提交验证码、完成加密密钥协商等。如果仅有Wi-Fi而蜂窝数据关闭，且Wi-Fi环境无法连通WhatsApp服务器，那么验证过程将陷入停滞。因此，在中国场景下，开启蜂窝数据（即建立PDP数据通路）是WhatsApp客户端尝试绕过Wi-Fi限制、直接通过移动网络进行验证通信的前提faq.whatsapp.comsohu.com。值得一提的是，PDP Context的建立也表明手机在运营商网络上处于活跃状态，这对于某些验证机制（比如后述的闪信/闪呼）来说至关重要。
IMSI与MSISDN： IMSI（国际移动用户标识）和MSISDN（移动用户号码，即手机号码）是运营商网络中两个密切相关但不同的标识。IMSI是存储在SIM卡上的一串唯一数字，用于在移动网络中标识用户身份netmanias.com。当手机接入网络时，它向运营商提供IMSI以进行鉴权，运营商据此知道“是哪张SIM”的请求netmanias.com。而MSISDN则是我们平常说的手机号，用于在语音通话和短信路由中定位用户，也存储在运营商的HLR/HSS数据库中netmanias.com。运营商通过IMSI<->MSISDN的对应关系，将来自全球的短信/电话正确路由到用户手机上。WhatsApp的验证短信或电话本质上就是通过目标号码(MSISDN)寻找所属运营商网络，由该网络根据IMSI定位用户终端。一般情况下，WhatsApp应用并不直接接触IMSI这种信息，因为IMSI属于运营商网络的内部标识。然而，IMSI的存在仍然对安全产生影响。例如，**SIM卡交换（SIM Swap）**欺诈发生时，攻击者获得了受害者号码的新SIM卡，新SIM卡会有不同的IMSI，但MSISDN保持原号码不变。运营商会将原号码映射到新的IMSI，这样验证码短信就发送到了攻击者手中的SIM上。对WhatsApp而言，除非有机制检测IMSI变动，否则无法察觉用户号码背后的SIM已被盗换。部分应用在检测到SIM变化时会提示用户重新验证，这需要读取设备的IMSI信息进行比对。然而，在现代智能手机中，获取IMSI通常需要特殊权限，WhatsApp并未明确说明它有此类检测。因此，从WhatsApp角度，IMSI更多是网络侧的概念，但它提醒我们：电信级身份验证依赖于SIM的有效性。只有当正确的IMSI在网络注册、并建立了PDP数据上下文时，WhatsApp的后台服务才能确认该SIM对应的号码目前“在线”，进而可靠地发送验证信号（短信或电话）到该设备。
移动网络的信号辅助验证： 有观点认为，一些OTT应用可能利用移动网络提供的附加服务来辅助号码验证。例如，某些运营商提供号码快速验证API，当应用检测到设备在移动数据网络中时，可以向特定地址发起请求，由运营商返回当前设备的号码信息（通常通过已经建立的PDP通道）。Google等公司在部分国家与运营商合作过类似服务，实现用户免输入验证码自动完成验证。但就WhatsApp而言，没有公开证据表明其使用了运营商提供的自动号码识别API。即便如此，WhatsApp鼓励用户保持移动网络在线的做法，隐含的意义之一可能是：当手机处于蜂窝网络且数据畅通时，验证码通过率和验证成功率都会显著提升。这既包括了物理层面短信、电话能否送达，也涵盖了数据层面应用和服务器能否互通。
Flash Call机制：WhatsApp验证的新方案
针对传统SMS验证码容易被拦截、延迟以及用户体验不佳的问题，WhatsApp近年来引入了一种Flash Call（闪呼）验证机制fossbytes.com。所谓闪呼，即应用在用户验证阶段向用户的手机号发起一个非常短暂的来电：用户无需真正接听，WhatsApp会自动结束这通电话，并根据通话记录来确认是否拨通fossbytes.com。
原理与流程： 当用户选择使用闪呼验证（目前主要在Android设备上可用），WhatsApp会请求权限访问用户的通话记录fossbytes.com。随后应用拨打用户的号码，一般是一个预先设定的特定号码或号码段。由于WhatsApp后台知道它拨出的号码及通话ID，只要该未接来电出现在用户手机的通话日志中，应用即可读取并匹配最后一通来电的号码是否符合验证要求，从而确认用户持有这个号码fossbytes.com。整个过程用户无需手动输入验证码，验证通话在数秒内完成。相比6位数字短信验证码需要用户在短信和应用间切换输入，闪呼方式更加快捷无缝fossbytes.com。
优缺点分析： 闪呼验证的优势在于速度快且避免了SMS可能的延迟或拦截。一些分析指出闪呼将成为取代SMS OTP（一次性密码）的新趋势，Juniper Research预测2022年用于验证的闪呼次数将从2021年的六千万猛增到五十亿次subex.comglobaltelcoconsult.com。对于WhatsApp这样全球用户庞大的应用，闪呼可以节约大量SMS网关费用，并绕开部分运营商对国际SMS的限制。然而，闪呼也有局限：fossbytes.com首先，iOS设备由于系统安全限制，应用无法访问通话记录，因此iPhone上无法使用闪呼验证fossbytes.com。这意味着苹果用户仍需使用传统短信验证码。其次，为实现自动匹配来电号码，用户必须授予读取通话记录的权限，这在隐私上引发一些担忧fossbytes.comfossbytes.com。WhatsApp声称不会将通话记录用于验证以外的用途，号码匹配也在本地完成fossbytes.com，但考虑到母公司Meta的隐私争议，部分用户依然顾虑。第三，闪呼验证依赖语音通话路线，同样受制于电信网络质量。如果用户所处网络无法接通国际来电（比如被运营商拦截境外短振铃电话），闪呼也无法成功。此外，从运营商角度看，闪呼绕过了A2P短信计费，可能侵蚀短信营收，一些运营商开始研究识别闪呼流量的策略wholesale.orange.com。总体而言，闪呼机制体现了WhatsApp希望减轻对短信依赖的努力，它在许多国家提升了验证体验，但在中国等特殊环境，其效果仍取决于本地语音网络的开放程度。值得注意的是，中国运营商对于境外电话，尤其是这种**“零响铃”未接来电**也有防范措施，中国电信和联通用户就被建议如需接收海外来电验证，应联系客服确保未拦截海外来电hqsmartcloud.com。因此，即便WhatsApp支持闪呼，中国用户若未开启移动语音漫游或运营商许可，仍然难以通过此途径完成验证。
与SIM Swap安全性的关系： 从安全角度看，闪呼并未实质提升抵御SIM交换攻击的能力。如果攻击者成功将受害者的号码转移至自己的SIM卡上（获取新IMSI），那么无论验证码以短信还是闪呼方式发送，都会到达攻击者设备。闪呼机制能防御的是部分恶意拦截短信的行为（如恶意网关或木马读取短信），但对社工换卡没有太大帮助。WhatsApp早已提供两步验证（即设置6位PIN码）供用户自行启用，以防号码被他人重新注册时需要额外密码。然而大量用户未开启该功能。因此，闪呼更多是从用户体验和成本出发的改良，而非针对高级别攻击的防护机制。正如前文所述，真正要防御SIM Swap和SS7漏洞等系统性风险，依赖运营商的号码验证本身就是薄弱环节，需要引入更高级的身份认证手段。
SIM卡交换攻击的风险与运营商信任问题
WhatsApp和Telegram一类基于手机号认证的应用普遍面临一个安全挑战：手机号码本身并非绝对安全的身份凭证。攻击者可以通过一系列手段取得用户的号码控制权，其中SIM交换（SIM Swap）是近年高发的欺诈手法。SIM Swap通常由不法分子冒充用户，诱骗或贿赂运营商客服将目标号码的服务转移到攻击者的新SIM卡上keepnetlabs.com。一旦成功，所有发往该号码的短信和电话都转由攻击者接收，原机主的SIM卡失效。对于依赖短信/电话验证的应用来说，这意味着攻击者可以轻易获取验证码，从而重置账户并登录。近年来全球SIM Swap案件呈上升趋势，许多在线服务的账号被此攻破rte.ie。
WhatsApp并非未知晓此风险。事实上，WhatsApp在其帮助中心和安全博客中多次提醒用户开启两步验证PIN，并强调绝不向他人透露短信验证码。然而，从系统设计上讲，WhatsApp仍将信任根基放在运营商发送到用户手机的那串数字验证码上。一旦运营商端的安全被绕过（无论是内部员工作恶、社工欺诈，还是SS7网络被黑客利用securityaffairs.com），WhatsApp本身无法辨别验证码接收者是否是真正的用户。正如安全研究所Positive Technologies指出的那样，目前主要的即时通讯服务（包括WhatsApp和Telegram）依赖SMS作为主要验证机制，这使得黑客能够通过攻击电信信令网络来接管用户账户securityaffairs.com。换言之，WhatsApp被迫信任每一个参与短信/电话路由的运营商，但这个信任链条上任何薄弱环节都可能遭到利用securityaffairs.com。例如，在SIM Swap攻击中，运营商本身成为被欺骗的对象；而在SS7定位拦截攻击中，全球互联的电信网成为攻击面。在中国的场景下，虽然主要威胁来自审查而非黑客，但本质上仍是WhatsApp无法完全掌控电信网络这一事实所导致的问题。
应对这些风险，WhatsApp和Telegram等采用了一些弥补措施。除了提供用户自行设定的二次密码，两者也开始探索设备多因子的概念（如后文Telegram部分所述，利用已有登录设备确认新登录）。然而，对绝大多数首次注册或更换设备的用户来说，传统的短信/电话验证仍是唯一途径。这就是为什么在高安全需求的行业中，SMS OTP正逐渐被视为不充分securityaffairs.com。监管机构和安全专家建议对涉敏感操作采用更强验证，如专用身份应用、硬件令牌或生物识别等。WhatsApp作为大众通信工具，目前平衡了易用性与安全性，但其依赖电信运营商的验证模式在像中国这样特殊的环境下，既遇到政策阻碍，也隐藏安全短板。这一点对于决策制定者评估国外通信应用在华风险时，是一个重要考量：任何全球运营商合作机制，在中国境内都可能因为**“最后一公里”由中国运营商执行**而受到影响。无论是被拦截信息还是可能的监控窃听，这些风险都源自于底层通信网的控制权不在应用服务商手中。
Telegram登录机制的比较
作为对比，Telegram的账号登录机制与WhatsApp类似，也以手机号码为主要身份标识，但在具体实现上有一些不同之处。
多设备登录与云端代码： Telegram从设计上支持多设备同时在线（手机、平板、PC等），并将聊天内容储存在云端。这带来的一个直接好处是：当用户在新设备上登录时，Telegram会优先通过已登录的其他设备发送登录验证码。例如，用户尝试在电脑上登录Telegram，Telegram会在用户手机上的Telegram应用里推送一条消息包含登录码，而不是立即发短信accountboy.comaccountboy.com。用户只需在新设备输入从老设备上收到的代码即可完成登录。这种机制确保了只要用户至少有一个设备在线，就几乎不需要依赖运营商短信。当然，如果用户当前只有一部新设备（例如换了手机且旧设备不上线），Telegram才会退而求其次，通过SMS发送验证码到手机号。同时，Telegram也允许用户选择语音电话获取验证码，类似于WhatsApp的语音验证。当用户完全无法收到SMS时（比如在中国这种场景），语音呼叫常常比短信更可靠seatuo.com。
两步验证密码： 与WhatsApp一样，Telegram提供可选的两步验证密码。当启用此功能后，即使拿到短信验证码，仍需输入用户设置的密码才能登录账户quora.com。这对抗SIM Swap等攻击提供了另一层防线。不过需要指出，如果用户忘记了设置的Telegram密码且没有设置信任邮箱，可能会永久失去账号访问，因此开启该功能在中国用户中接受度一般。
登录体验与安全性的取舍： Telegram的登录流程在用户体验上更加灵活。多设备下无需每次都收验证码，提高了便利性。但从安全角度看，这种“信任已有设备”的做法也有隐患：如果用户的某个设备落入他人之手并未及时登出，那么该人有可能利用该设备获取新的登录验证码。因此Telegram会在应用中提供管理活动会话的功能，用户可随时查看和撤销其它设备的登录状态telegram.org。总体而言，Telegram和WhatsApp在初始注册环节同样依赖短信/电话，在这一点上，中国的网络环境对两者影响相似：Telegram在中国同样被全面封锁，需要VPN才能使用，其短信验证码发送也会受到运营商限制。另外，Telegram曾在2015年因恐怖分子利用该平台传递信息而被中国当局重点关注并屏蔽，因此其国内可达性甚至比WhatsApp更低。许多中国用户实际使用Telegram时，通常绑定国外号码或通过海外SIM卡来收取验证码，以绕开国内运营商的限制。
差异总结： 简而言之，Telegram在登录验证机制上的主要优势在于已有会话协助和云端同步。这使得老用户换设备时不依赖国内短信通道即可登录（前提是原设备已登录并可访问）。WhatsApp直到最近才推出多设备功能，但其多设备模式采用的是端到端加密设备链路，需要主手机扫码授权，而非像Telegram那样用账号密码登录其它设备。因此WhatsApp仍然强绑定SIM卡设备，首次注册和更换手机号时逃不开运营商环节。安全方面，两者的SMS验证所面临的系统性风险（如SS7攻击、SIM Swap）并无本质区别，都必须仰仗运营商加强对核心网络的保护，以及用户自身启用附加验证措施securityaffairs.comkeepnetlabs.com。
结论
对于希望在中国使用WhatsApp的用户来说，“开启蜂窝数据”这一要求背后体现的是技术与政策交织的复杂现实。一方面，蜂窝数据承载着WhatsApp与其全球服务器通信的关键信道，在中国的受限网络中提供了相对可靠的出路faq.whatsapp.comsohu.com。另一方面，WhatsApp的号码验证机制深深植根于传统电信体系，必须经由全球运营商的“协作”才能完成用户身份确认securityaffairs.com。而在中国，这种协作受到防火长城和运营商政策的双重阻碍：国际短信被拦截、国际数据被阻断。为克服这些障碍，WhatsApp既采取了工程上的应对（如检测强制Wi-Fi并提示使用移动网络faq.whatsapp.com），也引入了诸如闪呼验证等新方案以减少对短信的依赖fossbytes.com。但从根本上说，只要注册流程离不开手机号码，这种与电信运营商的捆绑关系就无法割舍。由此带来的安全问题（如SIM Swap和信令网络漏洞）在全球范围内敲响警钟securityaffairs.comkeepnetlabs.com。
对于从事安全研究和政策评估的人士，这篇分析揭示了WhatsApp在中国遇到的典型困境：技术系统的全球化与监管环境的本地化冲突。WhatsApp全球统一的验证框架在中国水土不服，不得不通过额外的设置和手段来“曲线救国”。这既包括让用户切换网络、配置VPN等绕过审查，也包括思考未来是否有必要采用更安全独立的验证方式。相比之下，Telegram的机制给出了一种启示：灵活运用多设备和云服务，至少在一定程度上降低对单一短信渠道的依赖。然而，Telegram自身在中国的处境表明，再优雅的技术方案也难以直接对抗高强度的网络封锁。最终，无论是WhatsApp还是Telegram，要想在受限环境下可靠运作，都需要技术与政策的双管齐下：一方面提高验证与登录的安全性和多样性，另一方面寻求运营商和监管层面的理解与配合。
综上所述，WhatsApp要求中国用户开启蜂窝数据并非偶然的臆想，而是其全球运营商合作验证机制在中国受阻后的务实选择。这一要求折射出移动通信应用在跨境运营中面临的挑战，也提醒我们在设计安全策略时必须考虑底层依赖的信任假设。对于个人用户，最实际的建议是在使用此类应用时提前了解并遵循这些特殊设置（如开通国际短信、启用数据漫游），并善用应用自身的安全功能（如两步验证）来保护账户免遭社工和网络攻击keepnetlabs.com。对于监管和运营商，则有必要权衡安全审查与用户便利之间的平衡，在可控范围内为可信的全球服务留出技术通道。在全球通信愈加融合的时代，WhatsApp的中国验证问题或许只是一个缩影，背后涉及的既有网络安全考量，也有数字主权与国际合作的议题，值得持续深入研究和关注。
faq.whatsapp.comfossbytes.comtheguardian.comsecurityaffairs.comsecurityaffairs.comkeepnetlabs.comdatascientest.comnetmanias.comsohu.comsohu.com