如何保护基于短信的注册服务免受批量短信攻击？

问题核心 #

攻击者利用随机生成的大量不同手机号发起API请求，仅靠单IP限流存在误判风险——运营商常为多用户分配同一IP，会误伤正常用户，需要叠加多层防护机制。

具体防护措施 #

• 手机号维度限流：对单个手机号设置严格的请求频率限制，比如1小时内最多请求3次，从目标维度直接切断批量攻击的路径，无论请求来自哪个IP都生效。
• 前置轻量人机验证：在API请求前加入低门槛验证（如滑动拼图、字符点选），拦截无交互的批量请求脚本，同时避免复杂验证影响正常用户的注册体验。
• 全局短信告警与限流：设置全局短信发送阈值，比如每分钟超过500条立即触发告警，人工介入排查异常；同时临时下调该时段的短信发送速率，减少损失。
• 手机号有效性预校验：对接运营商手机号归属地接口，过滤明显无效的号段（如未启用号段、格式错误号码），提前拦截垃圾请求，减少无效短信发送。
• 多维度关联判断：结合IP+设备指纹（如浏览器UA、设备标识）做联合限制，同一设备即使切换IP也会被管控；若同一IP下出现大量不同手机号，自动提升验证等级（比如强制图形验证码后才能发起短信请求）。
• 请求签名机制：要求客户端请求时携带基于时间戳+密钥生成的签名，防止攻击者伪造请求，同时可追踪异常请求的来源客户端。

现有IP限流的优化 #

• 调整IP限流的动态阈值：比如默认单IP每分钟允许10次请求，但当同一IP下出现超过5个不同手机号时，自动将阈值降至3次/分钟，兼顾正常共用IP场景和异常攻击场景。
• 区分静态/动态IP：对运营商分配的动态共用IP适当放宽阈值，对静态IP保持严格限制，减少误伤。

内容的提问来源于stack exchange，提问作者Alex2702