验证码接口防刷限流方案

验证码验证失败后的重试控制，核心不是”失败几次就锁号”，而是把失败计数、递增延迟、人机区分、熔断告警四层机制叠在一起，让正常用户几乎无感，让自动化脚本的成本高到不划算，很多系统在验证码这块栽跟头，问题往往不在验证码本身多难识别，而在失败之后那套”再来一次”的逻辑太宽松，攻击者根本不需要破解图形，只要拿到一个可以……