做兑换系统的兄弟，没被爬虫半夜扫过卡密的，算你命硬。兑换接口就是那道门，门没锁好，卡密一晚上被薅光，第二天老板脸都绿了。限流这事儿，不是装个插件就完事，得从IP、账号、错误次数三个维度一层层拦。今天就把这套兑换系统接口限流拦截的配置思路，掰开揉碎讲给小白听。

爬虫扫卡密到底咋扫的，你得先搞明白

爬虫扫卡密这事儿，没你想的那么玄乎，就是拿脚本往兑换接口疯狂发请求，一个一个试卡密。常见路子就三条，一是字典爆破，拿一批猜出来的卡密挨个塞进去试；二是撞库，拿别处泄露的卡密来对；三是遍历，按卡密生成规则穷举。爬虫不怕累，一秒能打几百上千次，你那点卡密库存扛不住几个小时。

前阵子跟老张在大排档喝酒，他做礼品卡生意的，去年双十一前夜接口被人盯上。老张说当晚日志一看，同一个IP半小时打了四万多发请求，卡密错了三万多次，对的那几百张全被兑换走转手卖了。老李在旁边插嘴，说他家更惨，爬虫用的是代理池，IP一分钟换一个，单纯封IP根本封不过来。王总听完直摇头，说他干脆把兑换接口夜里十一点到早上六点关了，惹不起躲得起。

> 兑换接口不是给爬虫练手的，限流配在前面，比事后追账强一百倍。

这事儿难吗？其实不尽然。你得先知道爬虫的请求长啥样——同一个IP高频、同一设备指纹反复来、卡密错误率畸高、请求间隔均匀得不像人。抓住这几个特征，限流规则就有谱了。代理池换IP那套，光靠IP维度确实顶不住，得叠账号和设备维度一起拦。

IP维度限流是第一道闸，但别指望它独扛

IP限流是兑换接口防爬虫的入门动作，思路很简单，单IP单位时间内请求超过阈值就拒。Nginx自带limit_req模块，配个漏桶就够小白起步，比如单IP每秒10次、每分钟60次，超了直接返回429。Redis计数也行，key用IP加时间窗口，原子自增，超阈值拦掉。这套配置十分钟上线，成本几乎为零。

但光IP维度拦不住代理池。老张那次复盘就栽在这——他限流配的是单IP每分钟100次，爬虫挂了上百个代理IP轮着打，每个IP都老老实实不超线，总量却奔着几十万去。后来他加了层组合规则，单IP每分钟超30次直接弹验证码，超60次封IP半小时，错误率连续畸高的IP拉黑名单。这套打下来，代理池成本被拉高，爬虫觉得不划算就撤了。

> IP限流是地基不是屋顶，单独用漏底，组合用才结实。

再就是别把阈值卡太死。我见过有商家图省事设成单IP每分钟5次，结果一个公司几百号人共用出口IP，正常兑换全被误伤，客服电话被打爆。阈值这东西得拿自己真实流量去校准，看平时峰值多少，往上调个两三倍留缓冲。夜间流量小，可以单独压一档阈值，爬虫最爱夜里作案。

卡密错误次数锁定，才是防爆破的命门

卡密错误次数限制，是兑换接口防爆破的真正命门。逻辑就一句话，同一IP或同一账号连续输错卡密N次，锁一段时间。N设多少有讲究，太松爬虫能慢慢试，太紧正常用户手滑一次就锁。老李他们试下来，单IP连续错5次锁10分钟、单账号错3次锁30分钟这套组合比较稳，错10次直接封号待人工复核。

这事容易被忽略的点，是错误次数得跨接口累计。有些兑换系统兑换接口和查询接口分开，爬虫会拿查询接口探卡密是否有效，再去兑换接口薅。你要是只在兑换接口数错误次数，查询接口被人当探针用都不知道。老张后来把查询接口也接进同一套计数器，查错也算错，爬虫的探路成本立马翻几倍。

> 卡密错误不计数，等于把金库密码锁设成不限次试，迟早被试开。

对了，锁定状态别只存内存。我有次踩坑，限流计数全放Redis，结果Redis重启缓存没了，锁定全失效，那半小时爬虫跟开了闸似的。后来改成锁定记录落库一份，Redis做热查询，重启了能从库里捞回来。还有个细节，锁定提示别告诉对方“已被锁定”，给个模糊的“兑换繁忙稍后再试”，别给爬虫反馈信号让它知道触发了防线。

验证码和人机校验，是最后一道兜底网

前面两道闸都过了，爬虫还在硬怼，就轮到验证码兜底了。触发条件别一刀切全开，那把正常用户也烦死。聪明的做法是梯度触发，单IP每分钟请求过20次弹滑块验证码，过50次强制图形验证码，错误率超七成直接要求短信验证。这样正常用户基本无感，爬虫每打一次验证码成本就涨一截，打到后面不划算自然撤。

验证码选型也有门道。图形验证码早被OCR秒破了，别指望它。滑块验证码稍微好点，但市面破解方案也成熟。真要硬刚专业爬虫，得上行为验证码或者短信验证码，前者检测鼠标轨迹是不是人手滑出来的，后者直接绑手机号实名，爬虫搞批量手机号成本极高。老王做虚拟商品兑换的，他家凡是卡密面值过五十的兑换，强制短信验证，一年下来薅羊毛的少了一大截。

> 验证码不是烦用户的，是劝退爬虫的，别本末倒置关掉它。

还有个常被忽视的——兑换接口本身要做并发控制。卡密校验这步得加锁，不然两个请求同时来兑换同一张卡密，有可能都校验通过、双花掉。老张早期就栽过，一张五百的卡被兑了两次，事后对账对到吐。兑换这步用数据库行锁或者Redis分布式锁都行，核销前再查一次状态，宁可慢半秒也别漏。对了，做卡密兑换的还得留意一句，涉预付卡业务的记得把实名信息和兑换记录留好底，合规这关别光顾着防爬虫给漏了。

— — —

兑付接口这扇门，锁一层不够，IP、错误次数、验证码三道闸全配上，爬虫才懒得啃你这块硬骨头。