你有没有收到过莫名其妙的验证码？前脚刚注册一个网站，后脚手机就不停响，一条接一条的短信涌进来，有时候一晚上能收到上百条。这不是巧合，很可能是遭遇了短信轰炸。
什么是短信轰炸？
短信轰炸本质上是一种恶意行为，攻击者利用某些网站或App的短信验证码接口，不断提交你的手机号，让系统反复给你发验证码。目的可能是恶作剧、报复，甚至是为了掩盖其他网络操作，比如盗号时干扰用户接收真正的验证码。
比如你朋友开玩笑把你的手机号填进某个注册页面几十次，或者有人在黑产平台上花几块钱买个“轰炸服务”，你的手机就会陷入瘫痪。
常见漏洞点在哪？
很多小网站为了方便用户注册，验证码接口没有做频率限制。攻击者写个简单的脚本，循环请求发送验证码的API，就能轻松实现轰炸。
举个例子，某个接口是这样的：
POST /api/send-sms HTTP/1.1\nHost: example.com\nContent-Type: application/json\n\n{"phone": "13800001111"}如果服务器端没做限制，同一号码一分钟内被请求几十次也没问题，那这个接口就是敞开着的大门。
如何有效防护？
作为普通用户，没法直接改代码，但可以注意使用习惯。比如别在不靠谱的小网站乱填手机号，尽量用临时邮箱或虚拟号注册。
如果你是开发者，那就得从接口层面堵住漏洞。最常见的做法是加限流机制。
比如用 Redis 记录每个手机号的请求次数：
SET sms:13800001111 5 EX 60 NX意思是：这个号码60秒内最多发5次，超过就不给发。同时前端也可以加图形验证码，防止脚本自动提交。
增加验证步骤
别一上来就发短信。先让用户输入图形验证码，或者做一次滑动验证，能挡住大部分自动化工具。
还可以引入行为分析，比如同一个IP短时间内频繁请求多个不同号码，大概率是机器在跑，直接封IP。
用户能做什么？
手机自带的骚扰拦截功能别闲着。安卓和iOS都支持关键词过滤和陌生号码拦截。把“验证码”“登录码”这类词加进去，能减少打扰。
运营商也提供短信过滤服务，有的能自动识别并归类验证码短信，甚至屏蔽高频发送号码。
真被炸得受不了，打客服申诉，要求临时屏蔽非联系人短信，熬过那阵子再恢复。
防护这事，不能全靠别人。平台要加固接口，用户也得有点防范意识，少在来路不明的地方留真实号码，才是长久之计。