如何防止对短信账户验证的 DDoS 攻击

Question

我有一个应用程序，用户可以在其中注册并输入他们的手机和其他数据。 为了验证用户是否有效，在我将其保存到我的数据库之前，我向用户发送了一条带有代码的短信。 之后他们应该在表格中输入代码。

问题是，如果我尝试发送短信，即使电话号码无效，我的短信提供商也会向我收费。

如何防止对我的应用程序进行 DDoS 攻击，该攻击会尝试每次发送短信（即使号码无效）？

Answer 1

有几件事你应该尝试。

首先，您应该尝试通过启用验证码来降低 DDOS 攻击的可能性。

虽然它会使 DDOS 攻击变得困难，但不会使它成为不可能。 为了防止实际的 DDOS 攻击，您不需要立即执行 SMS 请求，而是将它们放入队列中。 通过在您的网站上拥有一个可以明确定义的具有速率限制的单独进程并显示“消息可能需要长达 15 分钟才能到达”，您将更难以创建资源耗尽。

最后但并非最不重要的一点是，在发送消息之前进行电话号码验证，并跟踪在过去 30 分钟内向某个号码发送了多少请求。 将唯一编号的请求数限制为每 30 分钟 2 个请求。

Answer 2

添加到迪米的答案中，（还不能评论）

使用 GooglePhoneNumberLib 验证号码的格式是否正确。 因此，您不会因无效号码而被收费。