如何检测与防范客户端提交的人工生成合法UUID4？

这确实是个很实际的问题——UUIDv4的规范只要求结构合法，没法天然区分机器随机生成和人工刻意构造的“伪随机”值。不过我们可以通过统计特征和规则过滤这类异常UUID，下面是几个可行的思路：

人工构造的UUID（比如你提到的babebabebabe4abebabebabebabebabe）往往有极高的字符重复率，或者二进制位的0/1分布严重偏离随机状态：

• 十六进制字符频率校验：计算每个十六进制字符（0-9,a-f）的出现占比。正常随机UUIDv4的每个字符出现概率接近1/16（约6.25%），如果某个字符占比超过30%（比如例子里的b几乎霸屏），直接标记为可疑。
• 二进制位平衡检测：把UUID转换成二进制后，统计0和1的数量。真正随机的UUIDv4，0和1的数量应该大致相等（偏差控制在±5%以内就很合理）。像全是b的UUID，二进制是1011，1的占比会远高于0，一眼就能识别。

人工生成的UUID很容易出现连续重复字符或者固定循环序列：

• 检查连续相同字符的长度，比如超过4个连续相同字符就触发告警——正常随机UUID几乎不可能出现这么长的连续重复。
• 用滑动窗口检测周期性重复模式，比如你的例子里babe循环出现，这种规律在随机UUID里几乎不存在。

UUIDv4的第13位固定是4，第17位是8/9/a/b，这部分规范你的例子符合，但真正的UUIDv4是由加密安全的随机数生成器（CSPRNG）生成的，我们可以通过简单的随机性测试验证：

• 比如游程测试：统计二进制中连续0或1的长度分布，随机序列的游程长度会符合特定概率分布，而人工构造的序列游程长度会异常集中。
• 服务器端可以优先信任由CSPRNG生成的UUID（比如Python的secrets.uuid4()、Java的UUID.randomUUID()），对客户端提交的UUID，若不符合这类生成器的随机性特征就拦截。

如果UUID和用户会话、设备信息绑定，可以加一层上下文校验：

• 要求UUID和用户的设备指纹、会话ID一同提交，人工构造的UUID大概率无法匹配真实的上下文信息。
• 限制每个用户提交UUID的频率，防止批量构造异常值。

需要注意的是，这些方法都是基于概率的过滤，没法100%阻止所有人工构造的UUID（毕竟极端情况下随机生成的UUID也可能出现异常特征，但概率极低）。你可以根据业务场景调整阈值，平衡误杀率和拦截效果。

内容的提问来源于stack exchange，提问作者raphaelrk