Flutter移动端注册API防垃圾及机器人攻击优化方案咨询

• 前置人机验证拦截
  在用户输入手机号后、发送OTP前，先加入轻量人机验证，比如滑块拼图、点选文字这类低门槛的验证方式。Flutter可以集成Google reCAPTCHA Mobile或者国内同类组件，验证通过后才允许进入OTP发送流程，直接拦截批量机器人请求。

• 重构HMAC签名的密钥机制
  现在把密钥存在客户端代码里太容易被反编译提取，改成服务端动态下发临时密钥的模式：用户进入注册页面时，先向服务端请求一个短期有效（比如5分钟）的临时密钥，客户端用这个密钥生成HMAC签名。服务端同时记录每个临时密钥关联的设备ID、IP，一旦发现异常请求直接作废对应密钥，切断恶意请求的签名合法性。

• 手机号前置校验与风险拦截

  • 对接运营商的手机号有效性校验接口，先判断手机号是否为正常在用状态，无效号码直接拦截，不用浪费短信资源。
  • 维护自己的风险号码库：把多次触发异常请求的手机号、公开的垃圾号码段存起来，请求时先匹配，命中直接拦截。

• 多维度的OTP发送限流
  除了现有的IP和设备ID限流，再加手机号维度的严格限制：比如单个手机号1小时内最多发3次OTP，单日不超过5次；同时设置跨手机号的限流规则，比如同一设备/IP在10分钟内请求不同手机号超过3个，直接拉黑该设备/IP。

• 客户端环境合法性校验
  在Flutter端增加环境检测：

  • 检测设备是否越狱/ROOT，这类设备更容易被篡改模拟请求，直接限制注册操作。
  • 校验应用签名：服务端留存官方APP的签名哈希，客户端请求时带上签名信息，服务端校验不匹配就拒绝请求，防止盗版APP发起恶意请求。
  • 检测是否存在调试器、Frida这类hook工具，一旦检测到就终止注册流程。

• OTP的绑定与时效优化
  把OTP的有效期缩短到2分钟以内，同时将OTP和请求的设备ID、IP、手机号绑定，只有来自同一设备/IP的验证请求才会被认可，避免OTP被复用或转发滥用。

• 异常请求的智能识别拦截
  搭建简单的规则引擎：比如拦截短时间内请求格式异常的手机号（比如全是相同数字、不符合国内号段规则）、请求间隔极短（每秒多次请求）的情况。有条件的话可以结合历史数据训练简单的机器学习模型，识别异常行为模式，实时拦截垃圾请求。

内容的提问来源于stack exchange，提问作者Twfeek Kiki