内容摘要：某电商平台做秒杀活动，凌晨零点刚过，有人用脚本在10秒内注册了2000个新账号，每个账号都领走了新人优惠券。系统没拦，风控没响，运营第二天看到数据才傻眼。这不是什么高深攻击，就是最普通的批量注册漏洞—

某电商平台做秒杀活动，网站凌晨零点刚过，批量有人用脚本在10秒内注册了2000个新账号，注册每个账号都领走了新人优惠券。漏洞系统没拦，网站风控没响，批量运营第二天看到数据才傻眼。注册这不是漏洞什么高深攻击，就是网站最普通的批量注册漏洞——接口没限流，验证码可识别，批量手机号接收逻辑有缺陷。注册

批量注册的漏洞根子，在于信任了不该信任的网站东西。开发者觉得“用户不会这么无聊”，批量可现实中就是注册有人无聊到用打码平台破解验证码，用接码平台批量买手机号。我见过一个案例，某社交APP的注册接口连图形验证码都没上，攻击者直接POST一串JSON，循环1000次，全成功。服务器日志里全是同一IP的请求，间隔0.3秒一次——这要能算真人操作，那人类的手速得进化成什么样。

更隐蔽的是那些“半成品”防护。有的系统上了滑块验证，但滑块校验逻辑在前端JS里，后端只校验最终结果参数。攻击者抓个包，发现参数是“pass=true”就放行，改一下直接绕过去。还有的系统做了手机号黑名单，但只查前三位号段，攻击者用虚拟运营商号段照样注册。这些漏洞不是技术难度高，是压根没从攻击者视角想过。

批量注册的危害不在注册本身，而在后续。羊毛党领完优惠券转手卖掉，社区里全是垃圾广告号，用户推荐列表里一半是机器人。更麻烦的是，这些账号还可能被用于撞库——攻击者拿着其他平台泄露的密码，用批量注册的账号做测试，一旦撞上，用户真实账号也跟着遭殃。你以为是省了几条短信验证码的钱，结果赔进去的是整个平台的信用。

怎么防？别指望一个验证码解决所有问题。正经做法是组合拳：注册接口限流是底线，单IP每分钟最多5次请求；验证码必须后端校验，前端校验等于白设；手机号要查重，同一手机号在不同设备上频繁注册要触发二次验证。还有个土办法——注册后24小时内限制部分功能，比如不能发言、不能领券，让机器人账号的运营成本变高。羊毛党算的是投入产出比，你让他的成本超过收益，他自然就换目标了。

我见过最离谱的案例是某游戏平台，注册时要求输入身份证号，但接口没校验身份证格式，攻击者用随机生成的18位数字全通过了。后来加了实名认证，结果认证接口又没限流，直接被刷了10万次。你看，漏洞永远跟着业务走，你每加一道防护，都可能留下新的缝隙。

说到底，批量注册漏洞是个态度问题。代码写的时候多问一句“如果我是坏人，怎么绕过去”，比事后补漏洞省事得多。别等运营半夜打电话说“数据异常”，那时候你只能看着日志里那几千个“test123”邮箱发呆。