你的程序是如何判定是否要发送登录短信验证码的？

一个很常见的功能，登录时发送短信验证码。

我现在是这样处理的，配置文件中有个配置：sms.off

当 value 为 false 的时候，发送短信，设置随机 6 位数验证码到缓存中，登录时需要正确输入验证码

当 value 为 true 的时候，不发送短信，设置验证码 123456 到缓存中，登录时验证码输入 123456

测试环境大多数时候 sms.off 都是 true，需要验证短信功能的时候改为 false

生产环境 sms.off 永远都是 false，必须发送短信

我的问题是：如何避免生产环境的 sms.off 被修改成 true，或者使用其他的解决方案，保证生产环境是一定会发送短信的？

请各位大神拍砖