ИМХО можно удалять только по протуханию, а то возможна ситуация, когда пользователь нажал за напрос кода, он не пришел, нажал на повторный запрос - приходит первая СМС, он вводит - неправильно.
Естественно, надо ограничивать количество запросов смс на номер например раз в минуту, но не больше чем 5 раз в час. ну и с одного ip - тоже, не более, допустим, 10 запросов в час
