微信内抽奖活动，被刷了，百度统计无数据，说明不是真机内的微信客户端？为啥能突破微信授权

[hahamy]

流程：用户进入抽奖活动页面，获取微信 openid，限制一个 openid 一天只能只能抽奖 3 次(session 标识用户)

现象：发现这两天每天的新用户数有 5K 左右(数据库内记录的 openid 数)，但百度统计一天只有一两百的 UV

排查：根据 IP 排查，发现有些 IP，一个 IP 有几十个不同的 openid 登陆，而且看 openid 应该是真实的
在 ipip.net 上查这些异常 IP，基本都是阿里云、美团云服务器的 IP

猜测：有人用工具在刷奖

问题：
1、百度统计没统计上，说明不是在微信浏览器内访问的活动页面，那怎么能授权成功，让我获取到 openid ？
2、如果是真机内的微信刷，那百度统计肯定会有数据？刷的人没必要屏蔽统计吧
3、这种刷奖是不是已经有成熟的技术了？通过养一批号来实现

[zpfhbyx]

群控了解一下

[qiayue]

如果是靠 session 来保存抽奖次数的话，他清掉 cookie，就可以一天抽奖无数次了。

建议抽奖次数和 IP 绑定，增加黑产成本。

抽奖被刷是必然的，一定要事先多做防御措施

[iX]

没统计上多正常，我 7*24 挂梯子，统计 /广告类域名见一个封一个。。

[lttc119]

窃取隐私而已，别问我为什么知道的，我也不知道我为什么知道的

[flyz]

赚客角度，明显被刷了。

[hahamy]

@zpfhbyx 群控就是那种一个机房成百上千台手机对吗，他们会屏蔽页面内的统计代码？

[hahamy]

@qiayue 微信授权拿到 openid 就确定了用户，清掉 cookie 进来还是能识别，所以只要是一个微信号，那么就只能抽 3 次

[des]

“而且看 openid 应该是真实的”
没有检测有效性的吗？

[JmmBite]

服务器 IP 不是应该都 ban 掉的吗？

或者：疑似 IP 一经触发，正常返回，但是不记入统计

[hahamy]

@des 为什么还要检查有效性？微信服务器返回的 openid，服务器间通信跟客户端无关，openid 并没有暴露给客户端
我说的应该真实，是说 openid 里的字符不像伪造的

[hahamy]

@JmmBite 没服务器 IP 库，所以程序里不好屏蔽啊，只能事后查

[yuanfnadi]

@hahamy 什么网站

[Bantes]

刷接口了吧？ openid 什么的直接提交到你接口，不通过页面访问当然没 UV，现在群控都是上万号的，专门薅羊毛

[hahamy]

@Bantes openid 不是前端提交的，前端只有浏览器 session
不在微信浏览器内拿不到微信的授权，按理应该是真机访问，拿到 cookie id，传递 cookie id 刷接口，所以每天必须有第一次的访问 uv，而实际情况是完全没有 uv，这就是我疑惑的地方

[hahamy]

@yuanfnadi 就是个转盘抽奖的活动页面，单独开的二级域名