滥用防护：注册、登录与上传

滥用防护的目标是让攻击成本高于收益，而不是追求零滥用。

注册与登录

登录失败按 IP 与账号双维度计数，避免撞库和高频尝试。注册限制同 IP 频次，并对可疑邮箱做二次验证。

发送类接口

发验证码、发邮件、发邀请都要单独限流。这类接口一旦被刷，直接产生真实费用。

上传

MIME 类型白名单，明确禁止 SVG，它可携带脚本。同时限制单文件大小、文件数量和单次总大小。

存储与回源

上传后的文件不要与主站同域渲染，避免 XSS 借同源提权。必要时用独立域名或签名 URL。