验证码接口防刷有五种方案：一、Redis限频，用INCR和EXPIRE控制IP请求次数；二、文件存储轻量限流，序列化记录IP时间戳；三、MySQL持久化记录，支持审计与跨服务器同步；四、Nginx前置限流，用limit_req模块毫秒级拦截；五、Session绑定IP，首次访问即校验IP一致性。
如果您的PHP网站验证码接口被恶意频繁请求，可能导致服务器资源耗尽或验证码失效，这通常是由于同一IP地址在短时间内发起大量请求所致。以下是针对该问题的多种限制方案：
一、基于Redis的IP请求频次限制
利用Redis原子操作记录每个IP在指定时间窗口内的请求次数，具备高性能与高并发支持能力，适合中高流量站点。
1、在验证码生成接口顶部引入Redis连接实例。
2、构造唯一键名，格式为 "captcha:ip:" . $_SERVER['REMOTE_ADDR']。
立即学习“PHP免费学习笔记（深入）”；
3、使用 INCR 命令对键值加1。
4、若返回值为1，则立即执行 EXPIRE 设置过期时间为60秒。
5、判断当前值是否超过预设阈值（如10次），若超过则返回错误响应并终止执行。
二、基于文件存储的轻量级IP限制
适用于无Redis环境的低并发场景，通过序列化数组写入本地文件保存IP与时间戳映射，避免数据库依赖。
1、定义请求限制窗口时长（如300秒）和最大允许次数（如5次）。
2、读取 ip_requests.log 文件内容，反序列化为数组。
3、过滤掉早于当前时间减去窗口时长的记录。
4、统计当前IP在剩余记录中的出现次数。
5、若次数 ≥ 限定值，则输出HTTP状态码429并退出脚本。
6、将当前IP与时间戳追加至数组，并序列化写回文件。
三、基于MySQL数据库的持久化IP控制
适用于需长期审计、跨服务器同步或配合用户系统管理的场景，确保IP行为可追溯且支持复杂查询条件。
1、创建表结构包含字段：ip VARCHAR(45)、request_time INT、count TINYINT。
2、执行SQL语句查找是否存在该IP且 request_time > UNIX_TIMESTAMP() - 300 的记录。
3、若存在，执行UPDATE将count字段加1，并更新request_time为当前时间戳。
4、若不存在，执行INSERT插入新记录，count初始设为1。
5、再次查询该IP记录，检查count是否超过阈值，超限则拒绝生成验证码。
四、Nginx层前置IP限流
在PHP逻辑之外拦截请求，降低后端压力，利用Nginx内置limit_req模块实现毫秒级响应控制。
1、在nginx.conf的http块中添加 limit_req_zone $binary_remote_addr zone=captcha:10m rate=5r/m。
2、在对应server或location块中配置 limit_req zone=captcha burst=3 nodelay。
3、重启Nginx服务使配置生效。
4、验证时使用curl多次请求验证码接口，观察是否返回503状态码。
五、Session绑定IP增强校验
结合会话机制，在用户首次访问页面时即记录其IP，后续验证码请求必须匹配该IP，防止代理IP绕过。
1、在用户加载含验证码的页面前，启动session并写入 $_SESSION['captcha_ip'] = $_SERVER['REMOTE_ADDR']。
2、在验证码处理脚本开头检查 !isset($_SESSION['captcha_ip']) || $_SESSION['captcha_ip'] !== $_SERVER['REMOTE_ADDR']。
3、若条件成立，直接返回错误提示并终止流程。
4、验证码验证成功后，可选择清除该session字段以允许下次重新绑定。
