担心短信验证码被刷，加入付费 0.01 元用于人机验证是否可行？

[lstz]

前同事最近一个小说 app 被人刷短信验证码，刷了小一千略心痛，而且网站还是是在上了滑动验证等方案的情况下，拦的拦不住，估计是用了 pupeptter 的技术

我想到现在很多大公司都要求用户主动发验证短信，资费大概是 0.1 元。但那个方法太麻烦了，如果 app 被刷了很多接口的情况，开始付费验证，比如 0.01 元来证明不是机器人，这样可行吗？

从用户的角度来看，0.01 元应该不算很多吧...毕竟微信提 x 都要 0.1 元。从网站的角度来看，也可以补贴一些短信接口的费用，看起来好像是 winwin 哇

不知道各位大佬怎么看待这种方案？有没有实际例子已经做过类似的呢？

[yuanmomo]

对我这种人没用，这就是为啥我不用微博和抖音

[qiaofanxing]

付费和不付费是一道鸿沟，为什么国内买断制发展不起来就是这个原因

[fruitmonster]

不都是连续发送过几次之后就段时间内不能发了么？而且你也可以采集用户的特征嘛，辨别哪些是群控

[lstz]

@qiaofanxing 确实国内付费意识不如国外.... 但他那个小说 app 最终也是想盈利的，或许这样能筛选一些用户呢...

[lstz]

@fruitmonster ip 和前端验证都做过了，我还帮他看了一下，看起来 app 加密加壳都做的很到位，emmm 费思

[murmur]

先上实名制+手机号登录咯

大公司的风控都是有团队弄的，人家有很专业的 IP 库，来自云、机房、特定地区都是很高的风控

[renmu]

开辟付费新赛道，一个设备登录一次就得扣钱，我目前还没见过哪个产品敢这么做

[lstz]

@renmu 只是针对注册阶段的，还不敢登录一次就付费一次(不过如果真的实施的话，安全性估计很高，误)

[Puteulanus]

记得之前看不止一个帖子说交易 0.01 结果被银行限制交易了好像，说是被风控认为是试探性交易，有诈骗还是洗钱的风险

[lneoi]

既然能识别到刷很多, 不如直接禁了, 让他转客服.
有的需要身份验证的会转钱, 但转完会立马退回.
有的注册会需要用户主动发短信, 等于短信钱用户付了

[lsylsy2]

让用户主动发验证码给 app 可行吗？比付费可能更容易接受，哪怕 0.01 实际上比短信成本低

[iyiluo]

这样安全是安全了，但是会导致一部分新增用户流失

[mengdu]

难道不是更应该思考加上了之后，用户还吊不吊你么😂

[XepMCWEKZ76L695l]

验证码供应商可以限制每个号码的每天发送频率

[yMYjhe]

分享一个没什么卵用的心理战：可以在 api 返回增加一个特殊不会显示在前端的字段，然后这个字段内容大概就是：诅咒、diss 、刷你短信的。

[liliang13]

还是高估了用户的耐心，这么做会挡住一大批用户。

不如从验证码供应商角度想办法，实在不行上行短信验证也好，就是让用户发短信。

[lxh1983]

从用户角度说，我就直接关闭页面，不注册了

[lstz]

@yMYjhe 好像是不错的，但也可能刷的更起劲了...


@lxh1983
@liliang13 是的... 除非功能真的刚需，这么做似乎不太行


@Puteulanus 风控这个没想过... 可能是

[yMYjhe]

@lstz

[yMYjhe]

@lstz 就看对方心理压力了

[Felldeadbird]

短信接口不是有限制发送频率的吗？ 1 小时顶峰多少条。同一个号码一天内多少条。

然后自己设计各种风控去限制发送接口。

[docx]

非常可行，马上卸载，注册都要 0.01 ，后面还会收什么费用，不敢想

[totoro625]

这个 App 是非用不可么？是有什么正版资源只能在这里看吗？

你收费了，性质就不一样了，比 VIP 去广告更加刑

[ysc3839]

你这么扣一分钱，怕是会触发银行风控，认为你是尝试盗刷啥的。如果能支持预授权的话，扣一块钱再退回是比较好的操作。

[dzdh]

支付后退款就行。

[hahahenimei]

五一的时候公司的短信接口也是被盗刷。封了 ip 后好多了，但是还是有。

[IvanLi127]

这个操作我感觉只适合刚需用户和小众应用。大众应用一开始就是付费的门槛……说不定人家还怕被骗被盗刷什么的直接换下一个呢。

[illl]

我记得很久以前和支付干过类似的事情，给用户随机打小金额的钱，将其作为验证码，这个应该要比用户付钱更容易接受一点

[snxq1995]

没这个必要。大概有三个方案：

1. 上短信锁定，比如同一个手机号码发短信锁定机制，一个小时内最多多少次。
2. 在网关层，按客户端 IP 限制发短信的接口设置一天最多允许访问次数。
3. 更复杂的行为验证码校验。

当然，前两条还是可以通过用 IP 池和 手机号码池对抗，属于资源对抗，最后一条呢就属于技术对抗了。

[ZField]

直接放弃短信，改用密码登录

[pinkbook]

完全不可行。哪怕是转账 0.1 立马退款，都会劝退很多新用户

毕竟哪怕是 oracle 注册信用卡的预扣款，都有人害怕不退回

[gam2046]

面向国内用户的应用，就尝试接入微信登录，白嫖一下微信的风控。

[fionasit007]

你可千万别去当产品经理哈哈哈

[leonshaw]

付费是不可能付费的，用户宁愿给运营商 0.1 ，也不会给你 0.01 。去接第三方登录吧。

[justfun]

只开放微信登录就好了

[Ashe007]

楼上有看到供应商限制频率，接口其实也可以实现以电话号码为基准的限流，避免恶意刷接口。除此之外默认登录项可以展示其他登录方式——密码/三方授权

[uuhhme]

太麻烦，还不如让用户发。或者免费发给他一次，第二次让他给你发

[cookii]

改成 email 验证码就行了

[JoeDH]

直接密码、邮箱验证或者微信登录吧

[JensenQian]

用邮箱么好了
为啥国内都要手机号

[dode]

有很多套餐带一点免费短信额度

[XJPlus]

我作为用户，我是不乐意的

[Pierro]

现在有些 app 开始放弃短信验证码登录了 可以传统的账号密码+手机一键登录+各种第三方登录