如何在不使用 CAPTCHA 的情况下保护我的应用程序的注册 API 免受垃圾邮件发送者的侵害？

Question

我的应用程序有一个注册服务，用户可以自己注册。然而，有恶意的人可以编写一个脚本，在几秒钟内注册数千个帐户。

我的后端开发人员建议我们在移动应用程序中使用验证码。但是我没有看到任何使用验证码的应用程序，它们的用户体验很差。

我的问题是如何防止此类攻击并保护我们应用程序中的服务？

Answer 1

这个问题对于 StackOverflow 来说不是很理想，但我记得我曾经遇到过同样的问题，因此我只是分享我的实现。

是的，验证码对于移动应用程序来说是一种糟糕的用户体验。应该避免这种情况。是的，当然我也避免了验证码的实现。

可以通过多种方式防止 Dos 攻击，并且已经有一些非常成熟的技术可以实现这一点。您可以在服务器端容器中跟踪来自特定 IP 地址的点击，并且如果需要，可以暂时阻止该 IP 地址。如果遇到分布式攻击，您可以考虑忽略超出您能力范围的请求。

这些是一些琐碎的建议。您也可以考虑在服务器端安装防火墙，这可以为这些内置支持提供支持。CloudFlare 是广泛使用的防火墙之一。

您可以采取多种预防 Dos 攻击的选项。只需在服务器端选择其中之一即可。对于您的网络应用程序，您可能会考虑保留谷歌重新验证码，但对于移动应用程序，显示验证码的想法是可怕的。