为什么API会被刷
你有没有遇到过这种情况：某个抢券接口刚一开放，瞬间就被抢空，而你自己连按钮都点不了？背后很可能就是有人在“刷”API。所谓API被刷，指的是通过自动化程序高频调用接口，达到批量获取资源、恶意注册、刷量等目的。轻则导致服务卡顿，重则系统瘫痪，数据被盗。
常见的刷API行为包括：机器人批量注册账号、爬虫疯狂抓取数据、黄牛用脚本抢票抢券。这些操作背后的共同点是——请求频率远超正常用户。
限制请求频率是最基础的防线
给每个用户或IP设置单位时间内的最大请求次数，是最直接的防御方式。比如：每秒最多10次请求，超过就返回429状态码。
在Nginx中可以这样配置限流：
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
location /api/ {
limit_req zone=api burst=20 nodelay;
proxy_pass http://backend;
}这段配置的意思是：按IP地址做限流，每秒最多10个请求，突发允许20个，超出就拒绝。
用API密钥识别合法调用者
公开的接口就像敞开的大门，谁都能进。加一层身份验证，相当于给每个访客发通行证。常见的做法是让客户端在请求头里带上API Key。
例如：
GET /api/v1/data HTTP/1.1
Host: example.com
Authorization: Bearer abc123xyz
服务器收到请求后，先查这个Key是否有效，有没有权限调用这个接口。无效的直接拒掉，减少被滥用的风险。
验证码不是万能，但关键时刻很管用
当系统检测到某个IP或账号行为异常时，可以临时要求输入验证码。比如登录失败5次后弹出滑动验证，或者提交表单前完成一次人机识别。
虽然会影响一点体验，但比起被机器人扫走所有库存，这点麻烦值得。现在主流的验证码服务像极验、阿里云验证，识别准确率高，对真人用户干扰小。
行为分析识别“不像人”的操作
真实用户操作有延迟、有停顿，而机器人往往节奏一致、速度飞快。通过记录用户行为轨迹，比如鼠标移动、点击间隔、页面停留时间，可以判断是不是机器在干活。
比如一个用户每次点击间隔都是300毫秒整，几乎分秒不差，这在现实中几乎不可能。系统就可以标记为可疑，进一步验证或直接拦截。
HTTPS + 签名防止请求被复制
有些攻击者会抓包，复制合法请求然后反复重放。为了防止这种“回放攻击”，可以在请求中加入动态签名。
比如用当前时间戳和私钥生成一个签名：
sign = MD5(timestamp + secret_key)每次请求都带上timestamp和sign，服务器收到后重新计算，不一致就拒绝。由于时间戳只在短时间内有效，复制过去的请求就没法用了。
黑名单与实时监控不能少
建立自动化的黑名单机制，把频繁违规的IP、设备指纹、账号加入封禁列表。同时配合日志监控，一旦发现异常流量激增，立刻告警处理。
比如某天凌晨三点，API请求量突然涨了十倍，大概率不是用户变勤快了，而是被盯上了。这时候需要快速响应，临时加强验证或限流。
防护不是一劳永逸的事。随着攻击手段升级，防御策略也得跟着迭代。定期审查接口访问日志，找出潜在漏洞，才能让API更安全地对外提供服务。