Laravel开发APP后端：如何保护「register」API路由？

针对你用JWT-AUTH做身份验证时遇到的注册路由被恶意刷的问题，我整理了几个不用Passport就能快速落地的解决办法，都是Laravel生态里成熟的方案：

1. 验证码验证（图形/短信/邮箱） #

这是最直接的防垃圾注册手段，要求用户先通过验证码验证身份，再完成注册。

• 图形验证码：可以用Laravel社区成熟的包比如mews/captcha，安装后在注册表单里生成验证码图片，后端验证输入的验证码是否正确，验证通过才处理注册逻辑。
• 短信/邮箱验证码：对接第三方短信或邮件服务商，用户提交手机号/邮箱后，后端发送验证码，用户输入正确后再允许注册。同时可以限制同一个手机号/邮箱的验证码发送频率（比如1分钟1次），防止滥用。

2. 基于Laravel自带的速率限制 #

Laravel自带的throttle中间件可以轻松实现接口请求频率限制，直接给注册路由加上限制就能挡住大部分批量请求。
比如在routes/api.php里给注册路由添加中间件：

Route::post('/register', [AuthController::class, 'register'])
    ->middleware('throttle:3,10'); // 10分钟内最多3次请求

你还可以自定义速率限制逻辑，比如针对不同IP、手机号设置不同的限制规则，甚至结合验证码使用——比如前2次请求不需要验证码，超过次数后强制要求验证码。

3. 邀请制注册（封闭场景适用） #

如果你的应用不需要完全开放注册，邀请制是最安全的方案：

• 后端生成唯一的邀请码，存储到数据库（包含有效期、使用次数限制等字段）
• 注册接口只接受附带有效邀请码的请求，验证通过后才允许创建用户，同时标记该邀请码已使用
• 这样只有拿到有效邀请码的用户才能注册，从根源上杜绝垃圾注册

4. 设备指纹验证（移动端专属） #

针对Android/iOS应用，可以收集设备的唯一标识生成指纹，限制同一设备的注册次数：

• 客户端可以结合设备信息（比如Android的设备序列号、iOS的IDFV，注意要符合隐私政策）、应用签名哈希等生成唯一指纹，注册时提交给后端
• 后端记录该指纹，限制同一指纹只能注册1次或每天最多2次
• 注意：部分设备标识可能会变化，建议结合多个参数生成更稳定的指纹，同时要遵守平台的隐私规定（比如iOS的IDFA需要用户授权）

5. 无感知人机验证（reCAPTCHA v3/hCaptcha） #

如果不想让用户手动输入验证码，可以用无感知的人机验证，比如reCAPTCHA v3：

• 客户端只需要加载公开的site key，不需要硬编码敏感的secret（secret只存在后端）
• 用户提交注册请求时，客户端获取验证令牌，后端调用验证接口获取分数，分数低于阈值就拒绝请求
• 这种方式对用户友好，同时能有效拦截机器人攻击，而且不需要像Passport那样硬编码client_secret，完全符合你的需求

6. 注册后激活验证 #

注册时先创建未激活状态的用户，发送激活链接（邮箱）或验证码（短信），只有用户完成激活后才能正常登录：

• 即使恶意用户批量注册，未激活的账号也无法使用，你还可以定时清理超过7天未激活的账号
• 同时可以限制同一个邮箱/手机号的注册次数，比如一天最多2次，进一步降低垃圾注册的影响

总结 #

根据你的应用场景组合这些方案效果最好：

• 公开应用：速率限制 + 验证码/人机验证 + 激活验证
• 封闭/内部应用：邀请制 + 设备指纹验证

内容的提问来源于stack exchange，提问作者Varin