Web接口限流与访问控制：降低撞库、刷接口和恶意爬取风险

一、先识别哪些接口需要重点保护

限流不是所有接口都使用同一把尺子。登录、注册、找回密码、短信验证码、支付回调、后台管理、文件上传、搜索查询和高成本计算接口，应当被列为重点保护对象。建议从访问日志中统计接口访问次数、失败率、来源 IP、账号分布和响应耗时，找出高频、失败多、耗资源的入口。对于匿名访问接口，可以按 IP、User-Agent、URL 和地区维度观察；对于登录后接口，还要按用户 ID、设备指纹和会话维度建立规则。

• 登录接口关注失败次数、异常地区和短时间多账号尝试。
• 短信接口关注手机号维度、IP 维度和设备维度的调用频率。
• 搜索和列表接口关注翻页深度、请求间隔和参数组合是否异常。

二、限流规则要分层，不只看 IP

只按 IP 限流容易误伤公司出口、校园网或移动网络用户，也容易被代理池绕过。更稳妥的做法是分层限流：入口层按 IP 和路径做基础频率控制，业务层按账号、手机号、邮箱、订单号等业务字段做精细限制，风控层再结合失败次数、设备变化、地理位置和历史行为做动态判断。对于登录接口，可以采用逐步增加等待时间、验证码、人机校验和临时冻结等手段，而不是一开始就完全拒绝。

• 低风险接口使用宽松阈值，避免影响普通浏览。
• 高风险接口使用短窗口和长窗口组合，例如 1 分钟、10 分钟、24 小时。
• 命中规则后返回清晰但不过度暴露细节的提示，避免给攻击者调参依据。

三、关键接口增加签名和来源校验

内部接口、支付回调、异步任务回调和开放 API 不应只依赖隐藏地址。可以通过时间戳、随机串、签名、IP 白名单和 HTTPS 证书校验提升可信度。签名参数需要包含请求路径、关键业务字段和时间窗口，服务端校验时要拒绝过期请求和重复随机串。对接第三方平台时，务必核对官方回调签名算法，不要把只读接口误做成可修改数据的入口。

• API 密钥不要写在前端页面或可下载的配置文件里。
• 回调接口要记录原始请求和校验结果，便于后续排查。
• 签名失败、时间戳过期、重复请求都应纳入安全日志。

四、配合 WAF、CDN 和日志告警形成闭环

WAF 和 CDN 可以在边缘节点过滤部分恶意请求，但业务侧仍要保留自己的限流与审计能力。建议把接口命中限流、验证码触发、登录失败、异常上传、后台访问失败等事件写入统一日志，并配置告警阈值。若短时间出现大量异常请求，可以临时提高验证码级别、关闭高风险入口、限制地区访问或切换到更严格的 WAF 规则。规则调整后要观察正常用户转化是否受到影响，避免安全策略过紧造成业务损失。

• 边缘防护负责挡大流量，应用限流负责识别业务异常。
• 告警内容应包含接口、IP、账号、次数和最近一次请求时间。
• 处理完攻击后要复盘规则是否需要固化，而不是只临时封禁几个 IP。