用户提交接口不做防刷？脚本一秒灌几百条广告，直接把服务器打满

新手做网站，用户提交的接口，比如评论、留言、搜索，只做内容校验，根本不做防刷限制，结果上线没两天，脚本一秒灌几百条广告，服务器CPU直接被打满，删垃圾内容都删不完。其实所有用户提交的接口，只要做几个基础防刷点，就能挡住大部分脚本灌垃圾。第一，所有用户提交的接口，必须加频率限制：同一个IP，连续提交两次至少间隔10秒，一分钟最多提交5次，脚本一秒发一百条，直接被接口拦下来；第二，注册、登录接口，加失败次数限制，连续输错5次就锁15分钟，挡住字典暴力破解，不然爬虫24小时拿字典扫你的密码；第三，评论、留言接口，加验证码，前端做个简单的图形验证码，脚本过不了验证，自然灌不进来；第四，所有接口加接口签名校验，别让脚本直接绕开前端，抓包就发请求，校验请求来源和时间戳，过期的请求直接拒绝。

我之前做评论接口，就没加频率限制，上线三天被脚本灌了三千条赌博广告，服务器CPU直接满了，加了频率限制之后，再也没出现过批量灌垃圾的情况。很多新手觉得小站没人会刷，结果黑产的脚本是全网扫的，你不做防刷，几秒钟就能给你灌几百条广告，删都删不完。这些防刷限制都是几行代码的事，但是能省你后面删垃圾、救服务器的大量时间。