security - 在Google App Engine上列入黑名单-用户或设备(而不仅仅是IP地址)

Question

我在PlayStore上有几个Android应用程序，它们使用应用程序内购买功能。我将Google App Engine用于后端。我看到一些用户异常/反复调用API(可能是反向工程还是黑客攻击？)。我可以弄清楚IP地址，Gmail ID等。如何防止这些人访问我的API？

一个建议是使用dos.xml

但是这些白痴似乎会不断更改IP地址，因此要不断更新此列表会很痛苦。

App Engine中是否可以将用户列入黑名单？或计算机/设备？

如果我们知道这些ba * t * r * s的google(Gmail)ID，我们如何/在哪里报告这些？ This page似乎是开始的正确位置，但不清楚在哪里发送电子邮件。

This page似乎更适合于漏洞，但这不是这种情况。

DoS page中的“在管理控制台中查看主要用户”部分说，我应该看到一个经常使用API​​的IP地址表。但是我在管理控制台中看不到这样的表。我需要成为付费(Google App Engine)用户吗？

任何帮助是极大的赞赏。

Answer 1

是的，GAE通过dos.xml(对于Python或PHP为dos.yaml)允许加入黑名单。如果您不想一直更新IP地址，则可能只需要检查用户ID，并向他们提供一些消息即可。但是，这实际上需要处理请求，检查ID等。因此，如果这是真正的DOS攻击，它将成功，因为您仍然必须处理请求。使用dos.xml可以在后端将其切断，因此这是最好的方法。

我建议使用脚本为要禁止的用户实时记录IP地址，以减少更新dos.xml的麻烦。