1 / 验证码（最简单有效的防护），采用点触验证，滑动验证或第三方验证码服务，普通验证码很容易被破解 难的比如12306
2 / 频率，限制同设备，同IP等发送次数，单点时间范围可请求时长
3 / 归属地，检测IP所在地是否与手机号归属地匹配；IP所在地是否是为常在地
4 / 可疑用户，对于可疑用户要求其主动发短信（或其他主动行为）来验证身份
5 / 黑名单，对于黑名单用户，限制其操作，API接口直接返回success，1可以避免浪费资源，2混淆黑户判断
6 / 签名，API接口启用签名策略，签名可以保障请求URL的完整安全，签名匹配再继续下一步操作
7 / token，对于重要的API接口，生成token值，做验证
8 / https，启用https，https 需要秘钥交换，可以在一定程度上鉴别是否伪造IP
9 / 代码混淆，发布前端代码混淆过的包
10 / 风控，大量肉鸡来袭时只能受着，同样攻击者也会暴露意图，分析意图提取算法，分析判断是否为恶意 如果是则断掉；异常账号及时锁定；或从产品角度做出调整，及时止损。
11 / 数据安全，数据安全方面做策略，攻击者得不到有效数据，提高攻击者成本
12 / 恶意IP库，过滤恶意IP
设置频率
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 | public function checkRequest($ip){ #一分钟接口调用只能10次 $redis= new \Redis(); $redis->open('xxx',6379);//服务器连接的Ip与端口号 $redis->auth('xxx');//redis服务的密码 $redis->select(1);//选择连接的redis，默认redis的库有16个 // $redis->flushAll();exit;//清空redis的所有库 $lock_time=$redis->zScore('user_list',$ip);//返回有序集中key中成员member的score if(time()-$lock_time<3000){ return 1;//在黑名单中 }else{ $redis->zRem('user_list',$ip);//redis中zRem命令用于移除有序集合中的一个或者是多个成员，不存在的成员将被忽略，当key存在但是不是有序集合类型是，返回一个错误 } #记录访问次数 $ip_value=$redis->get($ip);//get命令用于获取指定的keyz值，如果key值不存在返回null if(!$ip_value){ #设置key自增 $redis->incr($ip);//将key中存储的数字值增1 #设置过期时间为3000秒 $redis->expire($ip,3000);//给key值设置生存时间 }else{ $redis->incr($ip); } #集合里边的元素不会重复 字符串 #把ip当做key 存入redis 存5分钟 if($ip_value>10){ #使用有序集合 $redis->zAdd('user_list',time(),$ip);//命令用于将一个或者是多个于是怒以及分数值加入到有序集合中 return 2;//调用接口频繁 } } |