一个做本地生活的小程序做拉新活动，注册送二十元券。上线第二天早上，两千张券被领光，全是连着号的手机号，下单地址填的都是同一个小区。老板看着后台数据愣了半天，说这钱花得比投广告还快。
防刷先看成本账
很多人一上来就想做很复杂的风控，其实先算清一件事：一次正常注册你愿意花多少钱，一次虚假注册让你损失多少。二十元的券，黑产拿到的成本可能是两毛钱的虚拟号，那这道口子必然被薅。把优惠降到黑产不划算的水平，是最简单有效的一招。
三道门槛按成本递增
第一道是手机号验证，能挡掉一部分批量注册，但接码平台可以绕过。第二道是设备指纹，同一台设备反复注册能识别出来，改机工具也有，但成本上去了。第三道是行为特征，比如填表速度快得不像人、地址集中在同一片区，这类规则拦得最准。
别把正常用户拦在外面
防刷最大的副作用是误伤。太原本地的老年用户填表慢、用同一部手机帮儿女也注册一次，都可能被规则判定成异常。做法是异常时不断然拒绝，而是加一道验证或者转人工审核。宁可漏掉一部分，也别让真客人三番五次验证不过就走人。
还有日志。哪一天、哪个IP段、用什么设备、领了多少，这些记下来，事后才能封禁和追溯。我见过一些企业被刷了才发现后台连请求日志都没留，只能认亏，连黑产大致从哪来都说不清，第二年同样的活动又被薅一遍。
太原做本地生活的企业，用户盘子通常几万到几十万，不需要买很贵的风控服务。把手机号、设备、频次、行为这四条基础规则配好，配上人工复核，能挡掉九成以上的批量刷。剩下的零散羊毛，当成获客成本也能接受。接口被刷我们处理过，最后起作用的不是验证码，是分层限频和特征识别。
防刷防护的常见疑问
要不要上滑块验证码
在注册和领券这两个关键动作上加就够，全站加会明显影响体验，尤其老年用户多的场景。
虚拟号怎么识别
可以接入运营商的三要素或号段库，识别虚拟运营商号段，命中后加严校验。
被刷的钱能追回吗
很难。券已经核销的话基本追不回，重点是封停账号、堵住规则、把损失控制在这一轮。
总结：防刷不是把门焊死，是让薅羊毛变得不划算。成本算清、三道门槛、误伤留口子、日志留痕，四件事配齐就够用。