w3xse7en

客户端其实有，指纹浏览器，虚拟机等手段进行规避
支持邮箱的话一般都是面向海外了，很难用人脸以及实名之类国内手段的来规避这种攻击
提供一些些思路

1. 服务端需要加上比较复杂的验签机制，例如动态下发对称加密的内容，客户端解密后再进行复杂的组合签名
2. 客户端上比较困难的图形验证码手段，例如 3d 旋转图片，匹配特定文字等，尽量用多种方案，可动态控制弹出不同类型的验证方式
3. 注册时的验证码做成语音式的，而不是文本类的
4. 业务流程上可以做些改进，例如采用邀请码的形式，并针对邀请码进行一些限制
5. 做好注册的流量监控，通常来说注册的流量不会很大，一般是稳定的，如果短时间增量过大，应该是受到攻击，可以开启 IP 限流、强制困难验证码校验，限制一段时间内获奖的总量等手段
6. IP 限流可以做成滑动窗口的，例如 30s 内某 IP 尝试注册 5 次以上则封禁 6 小时

我的方案是家里的服务，开个内网穿透到外网，内网穿透我用的是 frp 。手机用的代理针对穿透到外网的 ip 或者域名开启直连访问，其余的该走代理走代理。