Node.js部署至Heroku后如何识别客户端防止试用用户重复注册

serial-number库的作用是在Node.js运行环境中读取当前宿主机器的硬件序列号，从设计上就不具备识别终端用户的能力：

• 本地开发时服务跑在你自己的电脑上，库能正常读取你本机的硬件序列号，所以看起来功能正常
• Heroku的运行环境是临时分配的无状态Dyno容器，不会向应用层暴露底层物理服务器的硬件序列号，调用接口自然返回空值
• 退一步说，就算这个库在Heroku上能正常返回值，拿到的也是Heroku服务器的硬件号，所有访问你应用的用户读到的都是同一个值，根本没法区分不同用户，原方案的设计逻辑从一开始就不成立。

按实现成本、防绕过能力从低到高排列，可根据项目阶段选择：

• 账号维度强校验
  要求用户领取试用前必须完成手机号/实名邮箱验证，同一个手机号、邮箱仅允许领取一次试用。该方案实现成本最低，但接码平台、临时邮箱的获取成本极低，防绕过能力弱，仅适合项目初期小体量场景使用。
• 浏览器/设备指纹识别
  前端采集终端的多维度非敏感特征，包括但不限于User-Agent、屏幕参数、系统时区、已安装字体列表、Canvas渲染特征、WebGL特征、CPU核心数、内存大小等，将所有特征组合哈希后生成唯一设备ID传给服务端做绑定，同一设备指纹仅允许领取一次试用。多特征组合生成的指纹绕过成本远高于单一特征，能拦住绝大多数普通用户的多开刷取行为。
• 支付信息前置校验
  要求用户开通免费试用前必须绑定有效支付渠道（信用卡、实名认证的第三方支付账号），同一支付主体仅能领取一次试用。这是目前全球主流订阅服务通用的防薅方案，绕过成本极高——获取大量可正常扣款的真实支付账号的门槛，远高于免费试用能带来的收益，Heroku、Netflix等平台的试用防刷逻辑核心都是这一层。
• 服务端风控规则校验
  服务端记录用户领取试用时的IP地址、访问行为路径、Cookie/LocalStorage持久化标记，对同一IP短时间内批量注册账号、行为路径异常的请求直接触发拦截；注意不要单独用IP作为判断依据，避免误伤共用出口IP的校园网、企业网正常用户。

没有100%无法绕过的防刷方案，你只需要把用户的绕过成本提升到高于免费试用权益的价值，就能拦住99%的恶意刷取行为，不用追求绝对完美的识别效果。

内容的提问来源于stack exchange，提问作者John doe