反机器人与自动化攻击防御

第一类 白名单 bot：搜索引擎、监控、支付回调、SSO 回跳
        → 放行但限速，必要时签名验证
第二类 灰名单 bot：比价、数据聚合、内容抓取
        → 按业务策略：限速、延迟、返回简化数据
第三类 黑名单 bot：撞库、抢单、刷量、恶意扫描
        → 挑战、拦截、上报风控

<!-- 前端：无感验证组件占位（示意，以具体服务商 SDK 为准） -->
<form id="login-form">
  <input name="username" />
  <input name="password" type="password" />
  <div id="captcha-widget"></div>
  <button type="submit">登录</button>
</form>

// 提交时携带验证 token，后端再校验
const form = document.getElementById('login-form');
form.addEventListener('submit', async (e) => {
  e.preventDefault();
  const token = await window.CAPTCHA_SDK.getToken(); // 由 SDK 生成
  await fetch('/api/login', {
    method: 'POST',
    body: JSON.stringify({
      username: form.username.value,
      password: form.password.value,
      captchaToken: token
    })
  });
});

前端挑战只是"门槛"，真正的信任来自服务端：
  ① 拿前端 token 调用验证服务端接口
  ② 校验 token 有效性、过期时间、用途绑定
  ③ 结合风控返回风险分，决定放行/挑战/拒绝
  ④ token 禁止复用，防止批量预取

// 设备指纹常见输入（示意，注意合规与隐私）
const fp = {
  userAgent: navigator.userAgent,
  language: navigator.language,
  screen: [screen.width, screen.height, screen.colorDepth],
  platform: navigator.platform,
  timezone: Intl.DateTimeFormat().resolvedOptions().timeZone,
  canvas: getCanvasFingerprint(),        // canvas 渲染指纹
  audio: getAudioFingerprint(),          // 音频上下文指纹
  fonts: getInstalledFonts(),            // 字体探测
  webgl: getWebGLParams()                // WebGL 渲染信息
};

指纹的真相：
  单条信息都可被伪造，但"组合+稳定性"难以同时伪造。
  攻击者可以改 UA，却很难同时改 canvas、字体集、屏幕参数。
  指纹的价值在于跨请求关联：识别"同一台机器的不同账号"。

指纹服务端要做的事：
  ① 归一化：同一设备多次上报合并为稳定 ID
  ② 降级：指纹缺失/异常的设备提高风险等级
  ③ 时效：指纹 ID 定期失效，防止长期追踪
  ④ 隐私：采集最小化，遵循当地数据合规要求

关键指标：
  · 指纹 ID 召回率（同一设备能否被稳定识别）
  · 指纹唯一性（不同设备会不会撞车）
  · 风控命中率与误杀率（误杀真人代价很高）

import time
import redis

r = redis.Redis(host='127.0.0.1', port=6379, decode_responses=True)

def sliding_window(key: str, window: int, limit: int) -> bool:
    """滑动窗口限流：窗口 window 秒内最多 limit 次"""
    now = int(time.time())
    pipe = r.pipeline()
    pipe.zremrangebyscore(key, 0, now - window)  # 清掉过期请求
    pipe.zadd(key, {now: now})                    # 记录本次请求
    pipe.zcard(key)                               # 统计窗口内次数
    pipe.expire(key, window + 1)
    results = pipe.execute()
    count = results[2]
    return count <= limit

# 使用：登录接口，IP 维度 60 秒内 10 次
if not sliding_window(f"rate:login:ip:{client_ip}", 60, 10):
    raise TooManyRequests("操作过于频繁，请稍后再试")

· 阶梯惩罚：首次超限 → 稍等提示；再超 → 验证码；持续 → 短暂封禁
· 优先级隔离：正常用户与可疑流量走不同队列，避免恶意流量挤占
· 异步降级：超限时返回 429，前端重试加退避
· 关键：限流目标不是"拦住所有 bot"，而是"拦住 bot 且不误伤真人"

一次请求的风险评分（示例维度，0-100）：

  + 来自数据中心 IP            → +30
  + 设备指纹疑似无头浏览器      → +25
  + 行为轨迹异常（无鼠标模拟）  → +20
  + 单 IP 并发过高             → +15
  + 历史黑名单命中             → +40
  + 通过验证码且行为正常       → -50

处置映射：
  0-30   放行
  31-60  弹验证码 / 加延迟
  61-80  限速 + 二次认证（如短信）
  81+    拒绝并上报黑名单

· 幂等 + 服务端校验：关键业务（领券/下单）必须服务端防重
· 验证码前置：高频业务入口先验证再进业务逻辑
· 限流 + 熔断：异常流量自动进入降级模式
· 审计留痕：所有风控决策记录原因码，便于误杀申诉

                    边缘层                     风控层
  请求 → CDN/WAF → 接入网关 → 指纹/行为采集 → 风控引擎 → 处置决策
      │              │            │            │
      │           静态规则   特征数据     模型评分/名单
      │              │            │            │
      └──── 放行 / 弹验证码 / 限速 / 阻断 / 上报 ←──┘

请求进入 → 网关提取设备指纹与行为包
        → 查名单（IP/指纹黑名单）
        → 调风控服务打分
        → 依据分数走处置分支
        → 处置动作全量打点，供后续调优