这是一个创建于 1404 天前的主题，其中的信息可能已经有所发展或是发生改变。
公司前些时间短信被恶意刷了，然后让我想个短信防刷的策略。
目前我想到的方案主要如下：
- 1：限制同设备，同 IP，同手机号的发送次数和频率。
- 2：请求 IP 和手机号国家码一致性校验。请求 IP 不在手机号所属国家 /区域，则前置人机验证（图片验证码）
- 3：高风险地区 /ip，前置人机验证
主要业务在 C 端，最好能够减少图片验证码出现的次数，提升用户体验。 上面的方案就算是抛砖引玉了，想请教一下大家有没有其他更好的方案。
 |
1
stiekel 2021-01-17 15:53:10 +08:00
再加个人机滑动验证。
|
 |
2
delectate 2021-01-17 16:13:36 +08:00
其实还可以加个验证，比如某时刻（ 10:00~11:00 ），服务端限制每个 ip 只能发送 x 条短信，某个手机号、id 只能发送 x 条短信（阈值设定的高一点，比正常值高 5%），超过的请求，符合严苛验证条件的通过，否则一律阻拦。阻拦的 ip 超过某阈值自动封禁；可以有效应对攻击、滥用。
|
 |
3
xcstream 2021-01-17 17:55:42 +08:00
滑动验证码
|
 |
4
firstfan 2021-01-17 17:57:28 +08:00
直接集成第三方的人机验证，你说的策略人家都有，就是 IP，设备检查，然后检查后觉得有风险再出滑动验证之类的
|
 |
5
crab 2021-01-17 17:58:38 +08:00
同号码限制次数，IP，验证码。
|
 |
6
312ybj 2021-01-17 18:11:00 +08:00 via Android
短信服务器应该有防轰炸策略。本地系统也可以维护一套防轰炸策略
|
 |
7
opengps 2021-01-17 18:33:23 +08:00 via Android  1
少了一个关键止损措施，避免大量伪造突破限制的方案，那就是每小时短信发送量。
这样的好处是始终有个约束，即使黑客选了你应用漏洞用于攻击或者推广，也效果收到制约，负面效果是，每次有突发大型活动要注意提前调高约束范围 |
 |
8
leaves7i 2021-01-17 19:54:03 +08:00
学习 tg，上次我登录前两次等了几分钟都没收到验证码，我再让它重发它就直接报代码了，让我一天后再重试……
|
 |
9
wangbenjun5 2021-01-17 19:57:17 +08:00
最有效的应该是验证码了，但是验证码加多了还影响用户体验，最简单的是对接一个第三方验证码服务，有些是基于大数据风控规则判断用户的风险级别，适时的弹出验证码，挺好，就是费钱，自己弄还很麻烦。
|
 |
11
igeeky 2021-01-17 22:32:11 +08:00
1. 人机验证, 简单,粗暴,有效.
2. 接口添加签名. 只有破解了签名算法, 才能发出合法的请求及签名数据. 对于移动端 Java 的 APP 应用 /WEB JS 应用, 破解难度倒也不是很高, 但是比没有签名的安全性还是要高一个数量级. 3. 基于 IP,客户端标识的安全控制. 基本没什么用, 花几块钱一个小时的 IP 代理库你就跪了. |
 |
12
x86 2021-01-17 22:43:29 +08:00 via iPhone
稍微好点的平台短信网关都有这个吧
|
 |
13
Lemeng 2021-01-17 22:46:36 +08:00
加个验证码，是最方便有效的
|
|
14
igeeky 2021-01-17 22:50:31 +08:00
|
 |
15
tutugreen 2021-01-17 22:50:50 +08:00
题外话，实在拦不住，比如限制一段时间量，超出了让用户上行发送短信（降低体验
或者接入运营商一键认证那种（需要手机+3/4/5G 网络 |
 |
16
docx 2021-01-18 04:06:17 +08:00 via Android
比如某宝的短信，是账号一天有下发总量，超过之后变成语音，或者不再允许获取。
以前测试的，现在可能改了。 |
 |
17
linksNoFound 2021-01-18 08:51:19 +08:00
某 IP 验证码超过 3 次未验证就拉黑
|
 |
18
ogli 2021-01-18 11:09:13 +08:00
应该加强验证码参数校验加密，和 app 反抓包，破解等等。人机验证这样的在多少次后刷出，其实不能完全应付，别人都是打一枪换一地。很被动。
|
 |
19
zpfhbyx 2021-01-18 11:46:19 +08:00
 api 动态加密啊 加签名 然后解密失败限制，一般增加难度，都不会再搞你 |
|
20
zpfhbyx 2021-01-18 11:51:35 +08:00
还有一个前置校验，前一个 api 的请求和当前 api 的请求来源一致，包括但是不限于 ip ua 其他的一些固定值 |
 |
21
julyclyde 2021-01-18 12:40:08 +08:00
让客户给你发
|
 |
22
nodesolar 2021-01-18 23:42:23 +08:00
之前每个月遭刷不少的量，成本之高，开启验证码机制+app 默认使用运营商一键登录， 量一下下来了.
|
Select Language