主 题：还是低估了羊毛党的战斗力（被刷了几个G的Pro额度
发 布 者：juye
标签分类： 日常
时 间：2026-07-18 14:49:24
内容预览：大家下午好，今天早上刚经历了一波血压飙升的事件，特意发个贴复盘一下，也给各位正在做独立开发或运营中转站的兄弟们提个醒。事情起因前阵子宣传中转站的时候，有部分新用户反馈希望能给点免费额度体验一下。于是就在后台开启了新用户注册赠送默认额度。为了防止恶意注册，我当时顺手做了一层基础防御：限制邮箱后缀：只允许 qq.com 和 gmail.com 进入白名单。图省事没开验证：当时觉得已经卡死两个大厂邮箱了，应该没啥大问题，为了优化用户的注册体验（其实就是自己懒得去配 SMTP 验证服务），就没有开启邮箱强验证。翻车现场结果今天早上起来一看后台，整个人都麻了。直接被某个“大佬”用脚本给上了一课。对方利用 Google 邮箱，疯狂注册了 400 多个账号。最让人心疼的是，这货注册完直接去盗刷我的 Pro 渠道额度，短短时间内被薅走了好几个 几 B 的额度。一大早看到账单和日志，真的感觉一口老血喷出来。经验与教训（血泪复盘）永远不要低估羊毛党的科技水平：你以为限制了 Gmail/QQ 就安全，但在自动化脚本面前，没有邮箱验证码（或者图形验证码/Turnstile）的注册页面，就是裸奔的提款机。免费额度千万别给高级模型（Pro）：给新人的体验额度，应该严格做好分组（Group）隔离。免费额度只能走低成本的普通渠道，Pro 级别的模型必须充值或者签到手动审核后才能用。防刷机制不能省：哪怕用户体验麻烦一点，注册时的 Cloudflare Turnstile、邮箱验证码 至少得选一个硬性的。目前已经把漏洞堵上，该封的 IP 和账号也全部送走。发这个贴没别的原因，就是吐槽加提醒：做站千万别偷懒，只要你给免费额度且没做强验证，这群羊毛党绝对会在几分钟内教你做人。
直达链接： https://www.nodeseek.com/post-827602-1
发 布 者：juye
标签分类： 日常
时 间：2026-07-18 14:49:24
内容预览：大家下午好，今天早上刚经历了一波血压飙升的事件，特意发个贴复盘一下，也给各位正在做独立开发或运营中转站的兄弟们提个醒。事情起因前阵子宣传中转站的时候，有部分新用户反馈希望能给点免费额度体验一下。于是就在后台开启了新用户注册赠送默认额度。为了防止恶意注册，我当时顺手做了一层基础防御：限制邮箱后缀：只允许 qq.com 和 gmail.com 进入白名单。图省事没开验证：当时觉得已经卡死两个大厂邮箱了，应该没啥大问题，为了优化用户的注册体验（其实就是自己懒得去配 SMTP 验证服务），就没有开启邮箱强验证。翻车现场结果今天早上起来一看后台，整个人都麻了。直接被某个“大佬”用脚本给上了一课。对方利用 Google 邮箱，疯狂注册了 400 多个账号。最让人心疼的是，这货注册完直接去盗刷我的 Pro 渠道额度，短短时间内被薅走了好几个 几 B 的额度。一大早看到账单和日志，真的感觉一口老血喷出来。经验与教训（血泪复盘）永远不要低估羊毛党的科技水平：你以为限制了 Gmail/QQ 就安全，但在自动化脚本面前，没有邮箱验证码（或者图形验证码/Turnstile）的注册页面，就是裸奔的提款机。免费额度千万别给高级模型（Pro）：给新人的体验额度，应该严格做好分组（Group）隔离。免费额度只能走低成本的普通渠道，Pro 级别的模型必须充值或者签到手动审核后才能用。防刷机制不能省：哪怕用户体验麻烦一点，注册时的 Cloudflare Turnstile、邮箱验证码 至少得选一个硬性的。目前已经把漏洞堵上，该封的 IP 和账号也全部送走。发这个贴没别的原因，就是吐槽加提醒：做站千万别偷懒，只要你给免费额度且没做强验证，这群羊毛党绝对会在几分钟内教你做人。
直达链接： https://www.nodeseek.com/post-827602-1
