防止虚假账户

Question

我正在开发一个简单的网络服务，允许用户免费注册并上传少量数据。我可以轻松地为每个用户建立配额，但恶意用户可以创建虚假帐户，以便在拒绝服务攻击中上传尽可能多的数据。

显然，对这种类型的攻击没有完美的防御，但是我们可以做些什么来缓解这个问题呢？

Answer 1

1. 在帐户创建时使用验证码以确保它是a 人而不是自动化过程。
2. 需要有效的电子邮件地址，并要求他们点击其电子邮件中的链接以验证这是他们的电子邮件地址并继续注册过程。这减少了他们创建许多一次性帐户的能力，因为您可以将他们限制为每个电子邮件地址只有一个帐户，然后他们必须为他们想要创建的每个帐户创建一个新的电子邮件地址。

Answer 2

将其与一个或多或少的唯一标识符（电话号码，银行帐号，facebook / google / etc帐户）或有限资源（例如时间，使用验证码）联系起来。

Answer 3

当用户注册时，用户会提供有效的电子邮件。在收到回复之前，大多数帐户都不会启用，通常是点击该电子邮件正文中的链接。收到点击后，您应该能够获取IP地址。这应该可以帮助你减少大量的偶然DOS攻击。

Answer 4

如果IP在一段时间内没有改变，只需记录IP并假设同一用户。这很糟糕，因为它会阻止同一家中的多个用户（相同的IP），但这是一个良好的开端。