| 防护点 | 前置人机校验、按目标频率限制、内容模板固定 |
|---|---|
| 监控 | 发送量与费用告警、异常模式分析 |
| 验证 | 少量样本确认拦截存在与生效 |
检查要点
检查要点
1. 发送接口前置校验（图形验证码/滑块/签名）
2. 按手机号与 IP 的频控策略及错误提示
3. 短信内容是否固定模板（不可注入自定义文本）
4. 发送量与费用的监控告警配置验证只做少量样本，禁止批量触发；发现缺失先上报再评估验证深度。
短信/邮件接口滥用防护检查
短信与邮件发送接口若无前置防护，会被用于轰炸与费用消耗：检查图形验证码、频率限制、模板固定与费用告警。
易错点
- 为“验证存在性”批量触发短信
- 只测单一接口，漏掉内部调用与管理侧入口
数据来源与参考
- OWASP 自动化威胁手册（Automated Threats to Web Applications）
- 运营商短信风控通用实践