## 症状现象
某天短信费用突然异常增长，日志里同一接口被高频调用，号码来源分散，发送内容集中在验证码类模板。这是典型的短信接口被刷：攻击者利用无防护的发送接口，对目标号码实施轰炸，或恶意消耗你的短信额度。伴随现象常有用户投诉收到骚扰，以及注册或找回密码接口的异常调用量。
## 定位过程
先聚合发送日志，按接口、来源、设备标识与号码段统计，确认刷量的入口路径与调用特征；再检查触发链路，看发送前是否有人机验证、同一号码是否有发送间隔限制、单日是否有上限。多数被刷案例三个条件至少缺两个。顺云监控告警对接口调用量设置环比阈值，异常放量能第一时间通知到人，而不是等月底账单发现。
## 解决方法
三道防线补齐。人机验证前置，把纯脚本调用挡在发送之前；频控落地，同一号码间隔限制加单日上限，同一来源与设备标识独立限速；费用熔断，设置每日发送总量硬上限，超过即暂停发送并告警，宁可短时影响业务也不让损失无限扩大。
## 预防建议
上线前把发送接口当成攻击面设计，默认它会被刷。模板与签名定期审核，防止内容被滥用。费用监控常态化，异常波动比事后账单更早暴露问题。验证码类接口单独计量，与业务通知分离，便于独立设限与熔断。被刷事件处理完还要回头算账：受影响用户的验证码补发、费用损失、投诉处理成本，全部记入事件档案，这份账是说服管理层投入防护预算的最好材料。同时检查上下游：支付与登录接口是否也存在类似的无防护高频入口，顺手一起补上，别给攻击者留下第二扇窗。