求救，怎么解决网站被恶意盗刷

[sxliusir]

我做了个简单的生成图片网站，有游客免费生成的功能，每个 ip 只能免费生成几次，我发现有些大批量请求是同一个人生成的，但是 ip 却都不同

[shuiduoduo]

加盾

[BlueSpace4512]

加 cdn 拦 bot 、再加浏览器指纹关联

[googlefans]

@BlueSpace4512 拦 bot 不把 google bing 等正规的爬虫也拦住了吗？

[orion1]

你咋知道是同一个人生成的，把原理告诉 waf

[sxliusir]

判断同一人是他的 prompt 很相似，时间也很相近，大量的请求

[sxliusir]

加什么盾呀，详细说说呢

[humbass]

绑定手机号或者微信号 每个号限制就行了。

[potatowish]

生成结果打上大大的水印，登录可保存去除水印版本

[davidyin]

加 recaptcha

[cnrting]

改成必须登录

[foryou2023]

国内搞成手机号登录，国外搞成谷歌邮箱登录。

[idblife]

让 fable5 解决

[nc]

加上 fingerprintjs 检测，纯客户端的，只能防普通用户薅羊毛。更彻底的是直接把机房 IP 都屏蔽掉，可以用这个库： https://github.com/NetworkCats/Merged-IP-Data

[EvanClausen]

判断用户浏览器指纹+CloudFlare Turnstile 。只限制 IP 的话随便一个 IP 池代理就绕过了。

[vvong]

接 cloudflare 走 cf 的代理
打开设置防机器人攻击 设置 Rate Limiting
开启高强度防护