注册短信验证码凌晨被刷，只加图形验证码和倒计时能拦住吗？

短信验证码接口被刷，只加图形验证码通常只能挡住固定脚本，挡不住接码平台和真人打码。按 2026 年常见交付经验，有效做法是发送前校验、手机号与 IP 双维度限流、发送后监控、成本兜底四层叠加。判断标准是组合之后单号码单日短信成本是否可控，而不是某一个验证控件是否高级。

只加图形验证码，为什么很快就不管用

图形验证码解决的是让单次调用变贵一点，而不是判断对方是不是真人。低价脚本识别简单图形验证码的成本已经不高，接码平台则把识别验证码和接收短信打包成按条计费的服务。只要单条成本低于攻击方想换取的收益，刷量就会继续。

更常见的缺口不在图形验证码本身，而在它和短信接口的衔接方式。如果图形校验通过后返回的令牌没有和手机号绑定、有效期又设得很长，攻击者可以先用少量真号码过掉验证，再把令牌囤起来批量发送。按 2026 年常见交付经验，这类令牌复用在真实事故里比破解验证码出现得更多。

• 令牌不绑定手机号：一个令牌可以给任意号码发送，等于没做校验。
• 令牌有效期过长：超过 5 分钟仍有效，容易被批量囤积后集中使用。
• 校验结果明文返回：图形验证码答案在响应里直接下发，脚本读一下即可。
• 令牌可重复提交：缺少一次性消费，同一令牌能反复调用发送接口。

怎么判断自己的短信接口正在被刷

被刷不需要等到月底账单出来才发现。日常可看的信号主要有三类：发送量突然脱离历史基线、请求来源高度集中、发送之后的业务行为几乎为零。把这三类里任意两条同时出现当作告警条件，比事后对账更有效。

• 发送量：5 分钟内涨到日常同时段的 3~10 倍，且集中在凌晨时段。
• 来源集中：大量不同号码来自同一网段，或同一设备反复提交。
• 回执异常：短信平台失败率明显低于平时，因为脚本很少输错号码长度。
• 转化断崖：发送量上涨，但注册、登录完成率反而明显下降。
• 通过率过高：图形验证码或滑块通过率接近 100%，而正常用户常见区间在八成到九成。

合格的判断口径是：事先设好阈值并接到告警里，而不是靠人工每天翻后台。经验上，日发送量超过几百条的公开接口，就值得把这五项做成看板。这里说的几百条是常见区间的起点，具体要结合自己历史峰值上下浮动。

一套可落地的「四道闸」框架

之所以按发送前、限流、发送后、兜底四段来分，是因为短信成本在调用渠道的那一刻就已经产生，拦截只能发生在动作之前，而观察和补救必须发生在动作之后。四段各管一段，缺哪一段都会留下缺口。

1. 发送前校验：图形或行为验证、号码格式与归属地检查、同号码冷却时间，常见 60 秒。这一步决定这次请求值不值得花钱。
2. 多维度限流：手机号、IP、设备、账号四个维度分别设阈值，经验区间是单号码每小时 3~5 条、单日 10 条以内，单 IP 每小时几十条。四个维度不要共用同一个数字。
3. 发送后监控：把发送量、失败率、渠道费用做成实时看板，超过基线自动收紧校验强度。它的价值是发现得早，不是完全挡住。
4. 成本兜底：设置日发送总量上限、异常时段只放行已注册用户、对明显异常的号码段做临时拦截。

执行时有两处容易做过头：一是冷却时间设得太长，正常用户换号登录会被自己拦下；二是总量上限设得太低，活动期间真实用户反而收不到。这两项建议按历史峰值留出余量，而不是拍一个整数。

几种常见方案的成本与适用面对比

不同方案的差别不在高级不高级，而在拦截效果、开发量和误伤率之间的取舍。下面按这三个维度给一组常见区间，实际数值会随接入方式和团队熟悉度波动。

• 图形验证码：开发量小，通常一到三天可上线；能拦住固定脚本，对接码平台和真人打码通常拦不住；误伤率低。
• 行为验证码或滑块：需要接第三方，开发量中等，常见三到七天；拦截效果较好；极端网络环境下误伤率略高。
• 号码与 IP 双维度限流：开发量小，核心是存储设计和阈值设定；对单号码刷量效果直接；阈值设错会误伤正常用户。
• 短信渠道侧频控：在短信平台配置即可；粒度较粗，通常只能按号码或账号限制，无法识别业务场景。

按企业项目交付习惯，四层里优先级较高的是号码维度限流和冷却时间，因为开发量小、对成本的影响又直接；行为验证码通常放到第二版再去替换图形验证码。这里的一到三天、三到七天都属于经验区间，不是承诺工期，实际会受第三方账号审核和联调排期影响。

交付现场：两天窗口里先做什么

有个交付顺序问题值得提一句：注册接口常常只有两三天开发窗口，团队容易把第三方行为验证码排在最后，结果联调没走完就上线，第一晚被刷掉一部分短信，第二天只能先加冷却和单日上限顶上。先做便宜且确定有效的部分，再谈验证方式升级，是更稳的顺序。某次项目里，约束是活动前只有两天可改动、短信平台账号又不能临时换，做法是先上同号码 60 秒冷却、单号码每日 10 条上限和 IP 每小时阈值，再给图形验证码加一次性令牌绑定。结果是上线当晚发送量仍比平时高，但单号码成本被压回经验区间内，代价是部分真实用户需要等冷却结束才能重发。

适用场景与不适用边界

需要完整风控的典型场景是面向公众开放、按条计费、可被匿名调用的短信接口，例如注册、登录、找回密码和营销通知。这类接口一旦被刷，损失直接且按条累积，事后往往也难以追回。2026 年常见做法是把风控强度直接和单日预算挂钩，而不是等账单出来再补。

不必上完整方案的情况同样明确：内部员工系统、号码由管理员预先导入的批量通知、日发送量只有几十条的内部工具，做多维度限流和监控看板的维护成本会高于短信费用本身，按号码做简单去重加一个每日总量上限就够了。

边界句：风控强度应当和被刷一次的直接损失挂钩——按条计费且对外开放就必须做，封闭场景或量极小的工具做基础去重即可。

常见问题

短信验证码只在前端做了倒计时，算做了限流吗？

不算。前端倒计时只是体验层提示，改请求或换设备即可绕过，限流必须在服务端按手机号和 IP 至少两个维度落地。

加了图形验证码还是被刷，通常漏在哪一步？

常见是令牌没和手机号绑定、有效期过长被囤积，或校验接口可被直接调用。先核对这三处，再考虑换成行为验证码。

同一号码一分钟请求了几十次，可以直接拉黑吗？

不建议直接拉黑，正常用户输错号码时也会连点。先做冷却时间与每日上限，多次触顶后再进入风控标记或人工处理。

短信费用已经被刷了，事后能追回吗？

多数情况下难以追回，运营商和短信平台按已发送计费。能做的是留存调用日志、临时关停异常号码段，并把校验前移到发送之前。

如果现在只做了前端倒计时，最少先把发送前校验、手机号冷却、单日上限这三件事补齐，按经验区间通常一到几天可以落地。面向公众且按条计费的接口建议四道闸都上；内部通知类按号码去重加总量上限即可。阈值要按自己的历史基线去调，不要直接照搬别人的参数。