目录
[🛡️ 一、常见的防刷策略分类](#🛡️ 一、常见的防刷策略分类)
[🔧 二、技术实现细节](#🔧 二、技术实现细节)
[✅ 1. 基于 IP 限流](#✅ 1. 基于 IP 限流)
[✅ 2. 给接口加验证码](#✅ 2. 给接口加验证码)
[✅ 3. 使用 Token 限制接口访问权限](#✅ 3. 使用 Token 限制接口访问权限)
[✅ 4. 给接口加冷却时间（验证码类经典）](#✅ 4. 给接口加冷却时间（验证码类经典）)
[✅ 5. 使用滑动窗口限流算法（更精细）](#✅ 5. 使用滑动窗口限流算法（更精细）)
[✅ 6. 使用 API 网关限流工具](#✅ 6. 使用 API 网关限流工具)
[✅ 7. 行为分析 + 机器学习防刷（高级）](#✅ 7. 行为分析 + 机器学习防刷（高级）)
[🔒 三、防刷策略组合应用（实战示例）](#🔒 三、防刷策略组合应用（实战示例）)
验证码接口：/send-code
[🧪 四、测试建议](#🧪 四、测试建议)
[🧠 限流目标设定](#🧠 限流目标设定)
[📦 所需依赖](#📦 所需依赖)
[🧪 测试方式](#🧪 测试方式)
[✅ 优势](#✅ 优势)
防止接口被刷（即防止恶意频繁访问接口）是构建稳定、安全的后端服务的关键环节。接口被刷会带来以下问题：
服务压力大 → 崩溃或变慢；
资源被滥用 → 例如验证码短信费用增加；
用户体验差 → 正常用户无法访问服务；
安全隐患 → 存在撞库攻击、恶意爬虫等风险。
🛡️ 一、常见的防刷策略分类
类别
技术措施
举例说明
身份识别类
登录校验、API Key、Token、Cookie 等
用户必须登录才能访问某些接口
频率限制类
限流、滑动窗口、漏桶/令牌桶算法
每个 IP 每分钟最多访问5次
行为识别类
图形验证码、人机验证、行为轨迹分析
连续请求验证码时需要输入图形码
请求来源控制
Referer、User-Agent、IP 黑名单
拒绝来自非正常来源的请求
设备绑定
每个手机号/账号最多绑定几个设备
防止批量注册账号或虚拟机刷接口
🔧 二、技术实现细节
✅ 1. 基于 IP 限流
对访问频率高的 IP 设置访问上限：
python
复制代码
# Redis限流示例：每个IP每分钟只能访问10次
ip_key = f"limit:{ip_address}"
count = redis.incr(ip_key)
if count == 1:
redis.expire(ip_key, 60) # 设置1分钟过期
if count > 10:
return "Too many requests", 429
✅ 适合接口：短信验证码、注册、登录、敏感操作。
✅ 2. 给接口加验证码
当用户触发"频繁操作"行为时，加一道图形验证码或滑块验证。
示例：
连续点击"获取验证码"按钮超过2次 → 弹出图形验证码
失败登录超过5次 → 要滑动验证
常用方案：
验证类型
说明
图形验证码
传统的"输入下图文字"方式
滑动验证码
腾讯云、极验验证码等
点选图标
"请点选所有的猫" 等人机验证
✅ 3. 使用 Token 限制接口访问权限
很多接口只能在登录状态下访问，或需要传递一个有效的 API token。
例子：
bash
复制代码
GET /api/send-code
Authorization: Bearer eyJhbGciOiJIUzI1...
如果没有合法 token，直接拒绝访问，防止匿名恶意请求。
✅ 4. 给接口加冷却时间（验证码类经典）
比如：
每个手机号每60秒只能发送一次验证码；
同一个账号每天最多发送 5 次验证码。
用 Redis 实现：
python
复制代码
key = f"cooldown:{phone}"
if redis.get(key):
return "Too frequent", 429
redis.setex(key, 60, "1") # 设置60秒冷却期
✅ 5. 使用滑动窗口限流算法（更精细）
不同于 Redis 的简单计数，这种方式记录多个时间戳：
bash
复制代码
时间窗口 = 1分钟
若过去1分钟内请求数 > 10，则拒绝
适合用在中大型项目中，Redis 或网关中集成。
✅ 6. 使用 API 网关限流工具
许多云服务（如 Nginx + Lua、Kong、Envoy、阿里云API网关）都有限流功能。
例子：
bash
复制代码
limit_req_zone $binary_remote_addr zone=req_limit:10m rate=5r/s;
server {
location /api/ {
limit_req zone=req_limit burst=10 nodelay;
}
}
含义：同一 IP 每秒最多访问5次，最多可突发10次。
✅ 7. 行为分析 + 机器学习防刷（高级）
企业常用方式：
结合访问路径、时间间隔、鼠标轨迹、设备ID、IP地区等特征；
判断是否为脚本行为，自动拉入风控系统；
如支付宝、微信等都会对登录、转账等操作做 AI 风控。
🔒 三、防刷策略组合应用（实战示例）
验证码接口：/send-code
类型
策略
限速
每个手机号每分钟一次，IP 每小时最多 20 次
身份
登录后才允许请求验证码（防刷注册）
图形验证码
多次请求后弹出图形验证
阈值
每个账号/手机号每天最多请求 5 次
🧪 四、测试建议
自己用脚本模拟高频调用接口，观察日志和限流是否生效；
使用 Apache Benchmark (ab) 或 locust 进行压力测试；
查看 Redis、网关是否正确记录并限制请求。
下面是一个使用 Flask + Redis 实现滑动窗口限流的接口示例，可以有效防止恶意刷接口请求，比如"短信验证码接口"。
🧠 限流目标设定
规则： 每个 IP 地址在过去 60 秒内最多访问 5 次 /send-code 接口。
📦 所需依赖
bash
复制代码
pip install flask redis
🧱 项目结构
bash
复制代码
rate_limit_project/
├── app.py # Flask主程序
└── limiter.py # 滑动窗口限流模块
🔧 limiter.py（滑动窗口限流核心逻辑）
python
复制代码
# limiter.py
import time
import redis
r = redis.Redis(host='localhost', port=6379, db=0)
def is_allowed(ip: str, max_requests=5, window_seconds=60) -> bool:
now = int(time.time())
key = f"rate_limit:{ip}"
# 移除窗口外的时间戳
r.zremrangebyscore(key, 0, now - window_seconds)
# 当前请求数量
current_count = r.zcard(key)
if current_count >= max_requests:
return False
# 添加当前时间戳（score 和 value 都是当前时间）
r.zadd(key, {str(now): now})
r.expire(key, window_seconds)
return True
🚀 app.py（主接口逻辑）
python
复制代码
# app.py
from flask import Flask, request, jsonify
from limiter import is_allowed
app = Flask(__name__)
@app.route('/send-code', methods=['GET'])
def send_code():
ip = request.remote_addr
if not is_allowed(ip):
return jsonify({"code": 429, "msg": "请求太频繁，请稍后再试"}), 429
# 模拟发送短信验证码
return jsonify({"code": 200, "msg": "验证码已发送（假装的😄）"})
if __name__ == '__main__':
app.run(debug=True)
🧪 测试方式
连续请求超过 5 次 /send-code：
bash
复制代码
curl http://localhost:5000/send-code
第 6 次起应该会返回：
bash
复制代码
{
"code": 429,
"msg": "请求太频繁，请稍后再试"
}
✅ 优势
基于时间戳的滑动窗口比简单计数更精准；
Redis 存储时间戳，自动过期，性能高；
可轻松扩展：按用户 ID、IP、Token 等限流。