撞库

背景 我在做一个 B 端 SaaS 的 API 网关（Go + Redis 滑动窗口），限流维度是 "(identity=uid, endpoint, window=60s)"，配额 120 次/分钟。网关在鉴权失败时（token 过期 /

«结论先行：登录接口防爆破，绝大多数团队只做了"按 IP 限流"这一层，结果被"分布式撞库"轻松绕过——攻击者用 1 万个 IP 各试 1 次，单 IP 远没到阈值，但账号层面已经被磨穿了。真正扛得住的防线是"账号维度限流 + 验证码 +