防止虛假賬戶

Question

我正在開發一個簡單的Web服務，允許用戶免費註冊並上傳少量數據。我可以輕鬆爲每個用戶建立配額，但惡意用戶可能會創建假賬戶，以便在拒絕服務攻擊中上傳儘可能多的數據。

顯然，有對這種類型的攻擊沒有完美的防守，但我們能做些什麼來緩解這一問題？

Answer 1

領帶它爲更或多或少唯一標識符（電話號碼，銀行賬號，臉譜/谷歌/等帳戶），或一種有限的資源（如時間，通過使用驗證碼）。

Answer 2

1. 在創建帳戶時使用驗證碼，以確保它是人爲的而不是自動過程。
2. 需要一個有效的電子郵件地址，並要求他們點擊其電子郵件中的鏈接以驗證這是他們的電子郵件地址並繼續註冊過程。這減少了他們創建許多一次性賬戶的能力，因爲您可以限制他們每個電子郵件地址只有一個賬戶，然後他們必須爲他們想創建的每個賬戶創建一個新的電子郵件地址。

Answer 3

當用戶登錄時，用戶提供了一個有效的電子郵件。大多數帳戶不是啓用直到收到回覆，通常通過單擊該電子郵件正文中的鏈接。收到點擊後，您應該可以獲取IP地址。這應該可以幫助你減少大量的偶然DOS攻擊。

Answer 4

只要記錄IP並且假設IP在一段時間間隔內沒有改變就採用相同的用戶。這很糟糕，因爲它會阻止同一屋內的多個用戶（相同的IP），但這是一個好的開始。