类 Google Analytics 的私有网站访问统计，如何防止攻击者恶意请求污染数据库？

[Shorekeeper]

浏览器从服务器获取 js 文件，js 在浏览器统计用户信息，发送请求到服务器入库。

如何防止攻击者伪造请求污染数据？

[villivateur]

如果有人就是靠拉人头访问你的网站，那肯定没辙。
防止机器访问的话，可以用 js 在前端做一些计算验证，比如捕捉鼠标移动事件等。

[Shorekeeper]

@villivateur 统计完全靠后端接受请求实现，主要怕的是攻击者使用相同的请求结构向服务器发送大量请求，因为没有校验所以都会入库。

[zhenjiachen]

我们也有类似的接口，发现容易被人通过接口直接胡乱传或者频繁调用，唯一能想到的就是加密数据了。这样就不能随便伪造了。

[learningman]

统计不属于重要数据吧，被伪造了应该也不会怎么样。感觉 captcha 没必要