---
id: 019
title: 限流 + CAPTCHA 反爬
status: open
labels: [security, p2]
assignee: team-lead
created_at: 2026-04-23
---

# #019 限流 + 反爬

## 背景

当前：
- 手机号 60s 内不重发 SMS ✓
- 无 IP 级限流
- 无 CAPTCHA

风险：恶意注册刷 SMS（成本攻击）/ 爬虫扫 profile。

## 要做

- nginx 层 IP 限流（10 req/s / IP）
- 关键接口（register / query）加 CAPTCHA（极验 / hCaptcha）
- 业务层按 user_id 限流（query 100/h）

## 工作量

单人全职 **2-3 天**。

## 相关

P2-2 of blueprint。
