昨天网站被广告机疯狂刷屏，求解决办法

[jamfer]

我的网站是用手机号注册的，然后昨天被注册机疯狂注册了一千多个账号，发了好多垃圾信息。用了两种验证码方案都失效了。

第一种是 https://www.vaptcha.com

然后改用图片验证码 https://github.com/lifei6671/php-captcha

两种都挡不住这个注册机，目前只能把注册功能暂时关闭了。请问有什么好用的方案么？（面向的用户主要在国内，默认没梯子）

[brader]

目前比较成熟的验证码防刷你可以用极验，然后你代码层，再同步建立起 IP 、手机号等多维度的频率限制黑名单

[jamfer]

@brader 我特地从数据库查了一下，他的每个账号的 IP 都不一样，手机号因为网站要求唯一，所以肯定也是不同的

[brader]

@jamfer IP 的话，专业攻击的人，是有一大批肉鸡 IP 的，但是你该限还是要限，并且要多维度的限，手机号也要限，这些是后面的防御措施。真正顶在前面的还是行为交互验证，比如 极验，这个才是起主要作用的，这些专业的验证码防刷平台，会定期更新图库的。 虽然你要花钱在极验，但是攻击者想绕过极验，也是要钱的，费用可能有：识别接口、人工打码费用。
反正就是矛与盾，当攻击者花钱得不到预期受益的时候，他自然就会停止攻击了

[cmllwxxl]

网站开启邀请码注册，关注公众号获取邀请码，邀请码随机生成

[cmllwxxl]

或者注册不限制，发帖需要微信扫码认证

[jamfer]

@cmllwxxl 这确实是一个办法