短信 - 如何避免破产？

Question

我正在编写一个需要用户输入手机号码的新网站，我面临的问题是我需要确保用户实际上是(或在这种情况下，有权访问)的所有者手机号码。

我想出的解决方案是，在提交号码时，我向他们发送带有 token 的短信，并要求用户在我的网站上输入 token ，就像 Google 日历所做的那样。但是，我的预算很紧，我需要确保用户 A 不会提交 100,000 个手机号码，如果发生这种情况，我很快就会倒闭，因为发送的每条短信都会花费我大约 0.10 美元。

到目前为止，我提出了以下解决方案:

使用验证码 (让一些用户远离，它仍然容易受到手动注册的影响)

限制给定 IP 地址请求的 token 数量 (动态 IP、代理等)

限制为给定手机号码发送的 token 数量 (用户可以为所有可用号码请求 token ，当真实用户尝试请求合法 token 时，他的号码将已被阻止)

这些解决方案都不是完美的，您建议我如何解决这个问题？

Answer 1

在最近的一个项目中，我们将 SMS 号码与用户帐户相关联。每个帐户都需要验证码和电子邮件激活。用户可以通过 token 激活短信，就像您正在使用的那样。

您可以对 IP 地址进行速率限制(不是总限制)。 5 分钟内来自一个 IP 的请求不超过 10 个，或者类似的。

和/或您可以限制未完成的 SMS 请求。在 IP 地址为 SMS 请求 token 后，必须先提交 token ，然后该 IP 才能请求另一个 SMS 号码。或者每个 IP 每天不超过 10 个未完成的 SMS token 。

此外，就像@Alan 所说的，我们对每月的 SMS 消息设置了上限。