一个接口，浏览器每请求 100 次，弹出一次验证码，要求服务器端不记录浏览器对应 ip 的请求次数，该怎么实现？

[kisshere]

如果通过服务器端记录客户端对应 ip 的请求次数，数据库会撑爆的，如何从验证客户端浏览器提供的数据下手，让这个接口，浏览器每请求 100 次，就弹出一次验证码？

$_COOKIE['requestCount']=$_COOKIE['requestCount']+1;
if($_COOKIE['requestCount']>100){show_captcha();}//这种逻辑就算了哈，小学生都能修改 cookie 破解

[nianyu]

你 又想安全 又要完全从客户端入手.办不到啊

[fancy111]

你都说了验证客户端浏览器，那就 cookie 计数加密一下咯。
或者 localStorage 什么的，反正存客户端嘛。
但是有什么用？客户端随时可以清空的，你的计数不可能完全保存在客户端。

[kisshere]

@fancy111 第一次请求就显示验证码，这个也可以接受，即用户清空 cookie，就显示验证码

[sagaxu]

random

[lhx2008]

数据库会存爆？每天清就行了，你想存爆挺难的。

[qinxg]

放内存里啊

[phpdever]

你的目的是防止客户端对接口滥用，解决思路应该是从后端角度处理

怕数据库撑爆，可以用 Redis，简单点的，用计数器法就可以实现限流

[cominghome]

如果通过服务器端记录客户端对应 ip 的请求次数，数据库会撑爆的

1. 这个数据量，其实没你想的大
2. 为什么要放数据库？ memcached 不好用还是 redis 不香？

[kisshere]

@cominghome
@phpdever
@lhx2008 用户用代理池来爬接口，数据库很可能冒烟

[annielong]

服务端返回数据的时候加一个 100 递减的参数，客户端请求数据时候必须带这个参数，

[virusdefender]

cookie 加密一下，虽然也不能根本性的解决这个问题

[zhenhuaYang]

redis 的 incr 命令不香吗？

[lower]

感觉你的 100 次限制，可能设置成在某个时间段里的限制，会不会好处理一些，比如是每天或者每个小时。
服务端随便记录，时间一到，缓存自动失效或者定时清数据库。

[kisshere]

@virusdefender cookie 可逆式加密也不能解决问题，用户每次携带同样的加密 cookie 给服务器端，服务器端每次都判断请求次数<100 而放行通过

[kisshere]

@lower 我目前也是这么想的，只能通过失效时间上解决问题，而不能在请求次数上做文章，所以看看有没有 V 站大佬能通过客户端请求次数想个好办法

[lhx2008]

@kisshere 我说的数据库是内存数据库，冒不了烟，TPS 随便都是几万的，你如果不把 IP ban 掉，网站还早挂了

[zzzmh]

要么前端解决要么后端解决
前端解决肯定不是绝对 100%安全，只能说相对来说压缩加密的 js 不容易调试和被改。推荐你了解一下 Fingerprintjs2
后端用 nginx + lua 貌似可以，但我没写过类似的，只在论坛见过

[wwcxjun]

Redis + 1,最简单的是使用 IP 作为 key,值就是请求次数, 判断值到一百就弹验证码,验证完了清空值就好了. Redis 不用考虑会撑爆了吧... 还是怕的话 可以加个失效时间

[chendy]

这种需求一定是服务端做，别人真想搞你的话客户端就是给人看接口的，不想搞你客户端做一堆防护也没用
另外如果有必要的话就直接在业务上做限制，比如未登录用户只能看一点数据，登陆了可以看多一些，充值了随便看之类的

[alphatoad]

这个问题可以近似为弹出验证码的几率是 1%
然后就不用说了吧（狗头