有烟台做电商的老板问我：搞活动短信接口被刷，一晚上短信费几万块，怎么办？我的答案是：接口没上防刷，活动等于给脚本送钱——频率限制、行为验证、业务规则三道闸，装上刷子就进不来。烟台做营销活动的企业不少，被刷的教训一个比一个贵。
刷接口的两种套路
套路一：短信轰炸——拿你的短信接口给别人手机轰炸，费用你出，投诉还找你。套路二：羊毛党——优惠券、抽奖、库存接口被脚本批量撸，活动预算被机器薅走，真实用户反而抢不到。两种套路的共同点：正常前端防护拦不住，脚本直接调接口。
三道闸怎么装
第一道频率限制：同一IP、同一手机号、同一账号分别限频，超限直接拒绝，短信费立刻可控。第二道行为验证：敏感接口加验证码或滑块，机器过不了人机校验。第三道业务规则：短信发送前查手机号是否存在、同号当日上限、黑名单库，把业务合理性卡死。三道闸对正常用户几乎无感，对脚本是一堵墙。
被刷后的紧急处理
先止血：被刷的接口临时限频或下线，止住出血点。再加固：按三道闸补防。后追责：日志留存，损失大的报警留证。信服无限网做软件开发类项目，接口安全设计进需求评审——防刷不是出了事再补的补丁，是设计时的一行账。烟台信服无限给本地企业做接口防刷加固，现有系统也能逐接口补闸，按项目评估一案一价。
接口防刷的常见疑问
会影响正常用户吗？
阈值按正常行为设，正常用户无感，误伤可人工申诉解封。
老接口能补吗？
能，限频和验证可逐接口叠加，先补短信和优惠类高风险口。
验证码会降转化吗？
只在敏感接口用，且选轻量滑块类，转化影响可控。
总结
烟台企业接口防刷，频率限制、行为验证、业务规则三道闸，刷子进不来正常用户无感，活动预算守住。搞活动前把接口清单给烟台信服无限过一遍，三道闸先装好。防刷的钱，比被刷的短信费便宜多了。