會(huì)員注冊(cè)短信接口如何防刷？

 網(wǎng)站或者APP注冊(cè)頁(yè)面，因?yàn)楂@取手機(jī)短信驗(yàn)證碼的功能是暴露在外的，有可能會(huì)遇到短信接口被刷的情況，最嚴(yán)重的當(dāng)屬受到短信轟炸機(jī)的攻擊，最嚴(yán)重的情況當(dāng)屬遭到自動(dòng)化軟件的攻擊；那短信驗(yàn)證碼防刷策略如何做呢？首先我們來(lái)了解一下短信接口攻擊：

什么是短信接口攻擊？
個(gè)別用戶出于不正當(dāng)目的，自己或者委托第三方使用 “短信接口轟炸軟件”，短時(shí)間內(nèi)在各應(yīng)用頁(yè)面（主要是注冊(cè)頁(yè)面）模擬輸入被攻擊者的手機(jī)號(hào)碼，批量、循環(huán)提交請(qǐng)求，給一些手機(jī)號(hào)碼無(wú)限發(fā)送各種無(wú)效短信（如短信驗(yàn)證碼）的行為，導(dǎo)致無(wú)辜的手機(jī)用戶被騷擾。

短信接口攻擊帶來(lái)的影響
1、用戶在無(wú)任何操作情況下，莫名收到大量短信驗(yàn)證碼，對(duì)用戶造成嚴(yán)重的騷擾；
2、使用短信驗(yàn)證碼接口的用戶，會(huì)被消耗大量的短信，同時(shí)，短信是以短信驗(yàn)證碼接口客戶的名義發(fā)出的，會(huì)對(duì)企業(yè)的品牌形象造成負(fù)面影響；
3、大量騷擾短信的發(fā)送，對(duì)短信通道及短信平臺(tái)服務(wù)商的穩(wěn)定安全運(yùn)行造成極惡劣的影響。

如何有效防范短信接口攻擊？
基于短信接口攻擊的一些特點(diǎn)，我們有必要采用適當(dāng)?shù)亩绦膨?yàn)證碼防刷策略，來(lái)降低甚至杜絕短信接口攻擊軟件對(duì)我們的影響，短信接口防御一般有以下一些措施：

1、互億無(wú)線短信平臺(tái)攔截
互億無(wú)線云通信平臺(tái)會(huì)實(shí)時(shí)偵測(cè)對(duì)客戶通過(guò)接口提交的每條短信，對(duì)惡意發(fā)送進(jìn)行有效識(shí)別與攔截，能杜絕大多數(shù)的惡意發(fā)送。關(guān)注互億無(wú)線官方微信公眾號(hào)，可實(shí)時(shí)接收賬戶狀態(tài)提醒。

2、對(duì)賬戶進(jìn)行短信限流
互億無(wú)線驗(yàn)證碼短信接口支持多種方式的限流機(jī)制，用戶可以根據(jù)自己的業(yè)務(wù)需要及特點(diǎn)，設(shè)置每天的最大發(fā)送量、每號(hào)碼每天、每號(hào)碼每分鐘的發(fā)送量，將短信被刷的風(fēng)險(xiǎn)降低在可控范圍內(nèi)。

如賬戶短信達(dá)到當(dāng)日最大發(fā)送量時(shí)，互億無(wú)線短信平臺(tái)會(huì)自動(dòng)通過(guò)短信或微信通知您，您可以登錄平臺(tái)對(duì)發(fā)送量進(jìn)行調(diào)整。

3、在用戶注冊(cè)頁(yè)面增加人機(jī)驗(yàn)證
短信轟炸、短信攻擊一般是采用軟件進(jìn)行自動(dòng)攻擊，在邏輯上，對(duì)用戶先進(jìn)性人機(jī)校驗(yàn)，校驗(yàn)通過(guò)之后才允許用戶點(diǎn)擊獲取驗(yàn)證碼按鈕；人機(jī)校驗(yàn)的方式一般有以下幾種：

a) 圖形驗(yàn)證碼：加上足夠復(fù)雜的圖形驗(yàn)證碼可有效防止惡意工具的自動(dòng)化調(diào)用，即當(dāng)用戶進(jìn)行“短信驗(yàn)證碼發(fā)送” 操作前, 彈出圖形驗(yàn)證碼，要求用戶輸入驗(yàn)證碼后，服務(wù)器端再發(fā)送動(dòng)態(tài)短信到用戶手機(jī)上，該方法可有效解決被利用實(shí)施短 信轟炸攻擊的問(wèn)題。
參考鏈接：http://xhl96.com/tool/img.html

b) 第三方人機(jī)校驗(yàn)：相較圖形驗(yàn)證碼，第三方人機(jī)校驗(yàn)服務(wù)的安全性更高，體驗(yàn)更好，不過(guò)一般都是要付費(fèi)使用。常見(jiàn)的表現(xiàn)形式有：

4、 在注冊(cè)頁(yè)面增加請(qǐng)求限制
a）對(duì)單個(gè)IP每天的請(qǐng)求次數(shù)做限制，如一天10次，超過(guò)即拒絕請(qǐng)求；
b）對(duì)同一號(hào)碼的請(qǐng)求時(shí)間進(jìn)行限制，單一用戶請(qǐng)求驗(yàn)證碼之后，需要間隔60-120秒才能再次請(qǐng)求；且同一號(hào)碼每天最多只能請(qǐng)求5-10次；
c）將獲取驗(yàn)證碼功能放在表單（如填寫用戶名、密碼等）和人機(jī)驗(yàn)證之后，即用戶通過(guò)了表單校驗(yàn)和人機(jī)驗(yàn)證之后，才能點(diǎn)擊獲取驗(yàn)證碼按鈕。

短信驗(yàn)證碼接口采用了以上一些防護(hù)措施之后，能防范絕大多數(shù)的短信接口攻擊行為，大大節(jié)約您的短信成本；當(dāng)然，這些策略需要在項(xiàng)目開(kāi)發(fā)的時(shí)候就要考慮并配置。