| 维度 | IP、账号、设备指纹、接口 |
|---|---|
| 策略 | 固定窗口/滑动窗口/令牌桶与验证码升级 |
| 验证 | 低频递增请求观察拦截点与恢复时间 |
验证步骤
验证步骤
1. 选一个低影响接口，按 1 次/秒递增到 5 次/秒（上限内）
2. 记录首次拦截的请求序号与响应特征
3. 换 IP/换账号分别验证维度覆盖
4. 观察拦截恢复时间与告警是否触发限速验证要控制总量，避免把风控与告警打爆；测试窗口与值班同事报备。
接口限速与滥用防护验证
登录、验证码、短信、查询类接口需限速防滥用；验证按维度（IP、账号、设备）检查阈值与递增策略。
易错点
- 高频打满阈值，触发全站封禁波及他人
- 只测单 IP，漏掉账号维度限制
数据来源与参考
- OWASP API Security Top 10（API4）
- OWASP WSTG WSTG-BUSL-05