短信接口被刷的防护

短信接口一旦被刷，损失按条数累计，防护要在上线前做完，而不是收到账单再补救。先把触发短信的场景（注册、找回密码、订单通知）梳理一遍，拿到接口文档、发送日志和余额查询入口，确认能在服务端改逻辑，再按下面四步搭防线。 第一步：加人机验证 发送按钮前置图形验证码或行为验证，批量脚本过不了这一关，这是成本最低、收益最大的一道防线。验证码的失败次数也要限制，同一会话连续错五次就强制刷新，防止被机器穷举。 第二步：双维频控 同一手机号 60 秒内只发 1 条、每天上限 5 条；同一 IP 每天上限 20 条。超限返回统一的友好提示，不暴露具体规则，避免被试探出边界。频控数据用缓存或数据库计数实现，保证跨请求生效。粒度按场景调：注册类最严，通知类放宽；夜间时段整体收紧，凌晨的高频请求九成不正常。 第三步：签名与时效 发送请求由后端签发 token，附上时间戳和签名，服务端校验有效期（建议 5 分钟）与签名一致性，接口就无法被绕过页面直接调用，抓包重放也会因过期被拒。token 与用户会话绑定，一个会话一个 token，防止脚本批量领取。 第四步：量与金额提醒 短信平台设置余额低于阈值自动提醒，每天核对发送量与业务量是否匹配，偏差明显立刻查发送日志。对账发现差异时，按号码维度统计当日发送量前二十名，刷子通常藏不住。每次发送记录 IP、号码、场景三个字段，出了问题能快速圈出攻击面。 验证与常见问题 用脚本模拟连续请求，确认各层拦截都生效。常见问题是阈值太紧误伤正常用户，上线后观察一周再微调；另一类坑是只在前端做限制、服务端不校验，等于没设防。