微信公众号网页授权是很多业务获取用户身份的第一步，但在公开页面中直接暴露授权入口，往往会引来爬虫或恶意脚本高频请求code接口。一旦请求量超过微信侧阈值，整个公众号的网页授权能力可能被临时封禁，影响所有渠道登录。要从根本上解决这一问题，不能只依赖微信自身的保护，必须在自有系统中建立多层频率限制与防刷机制。
接入层频率限制的原理与实现
最前置的防护应该放在流量入口，也就是Web服务器或网关层。其原理是在请求到达业务代码之前，基于客户端特征（如IP、User-Agent、请求路径）进行计数和限流。常见的算法包括固定窗口、滑动窗口、令牌桶和漏桶，其中滑动窗口能更平滑地控制单位时间内的请求次数，避免固定窗口在边界时刻出现双倍流量。
以Nginx加Redis实现的滑动窗口为例，我们可以利用Nginx的Lua模块在Access阶段调用Redis的ZSET结构记录请求时间戳，并移除窗口外的记录后统计总数。如果超过预设阈值，则直接返回429状态，不发往后端。这种方案对业务零侵入，且能扛住极高并发。下面是一段简化的Lua脚本逻辑：
-- 滑动窗口限流脚本
local key = "rate_limit:wechat_oauth:" .. ngx.var.remote_addr
local now = tonumber(ngx.time())
local window = 60 -- 窗口大小60秒
local limit = 30 -- 限制60秒内最多30次
redis.call("ZREMRANGEBYSCORE", key, 0, now - window)
local count = redis.call("ZCARD", key)
if count >= limit then
return 0
end
redis.call("ZADD", key, now, now)
redis.call("EXPIRE", key, window)
return 1
除了IP维度，还可以针对授权回调中的state参数或业务自定义trace_id做限制，防止攻击者变换IP后继续刷。接入层限制的缺点是难以识别“低速慢刷”的分布式攻击，因此需要配合后端更精细的策略。
基于用户标识与行为分析的防刷策略
当请求穿过接入层后，业务系统应当从微信用户标识维度再次设防。微信网页授权最终会拿到用户的openid，虽然获取code阶段还没有openid，但可以通过state参数绑定会话，或在拿到code后立刻换取openid并缓存其最近授权时间。若同一openid在短时间重复发起授权，大概率是脚本利用泄露的code或伪造跳转。
行为分析方面，可以收集设备指纹、页面停留时长、点击轨迹等信号。正常用户从点击按钮到跳转授权页通常有一定延迟，而机器请求往往是瞬时并发。通过简单的规则引擎（例如：页面停留小于500毫秒且直接调用code接口则标记为风险）即可过滤大部分自动化工具。下表对比了不同防刷维度的优劣：
| 维度 | 实现成本 | 误伤率 | 对抗伪造能力 |
|---|---|---|---|
| IP限流 | 低 | 中 | 弱 |
| openid频控 | 中 | 低 | 中 |
| 设备指纹 | 高 | 低 | 强 |
| 人机校验 | 中 | 极低 | 强 |
在实际系统中，建议将人机校验（如滑块验证码）仅对高风险请求弹出，而不是对所有用户展示，以免损害体验。同时，把命中的风险请求记入黑名单队列，供接入层同步封禁，形成闭环。
code换取与缓存设计的优化思路
许多开发者忽略了一点：微信的code只能使用一次且有效期很短，但“获取code的链接”却可以被反复传播。因此除了限制获取频率，还要保证code被换取access_token的过程高效且幂等。如果后端因为限流导致用户拿不到code，不应让前端盲目重试，而应使用队列削峰。
我们可以设计一个轻量的code预派发服务：当用户点击授权时，先经过频率校验，通过后才生成一次性state并跳转微信。微信回调带回code后，后端迅速用code调用微信接口，将得到的session存入Redis并设置较短过期时间，后续页面直接从缓存读取，不再接触微信接口。这样即使恶意者截获code，也因已被使用而失效。以下为Node.js的换取示例：
const redis = require('redis');
const client = redis.createClient();
async function exchangeCode(code, state) {
// 校验state防CSRF
const savedState = await client.get('state:' + state);
if (!savedState) throw new Error('非法state');
// 调用微信接口换session
const res = await fetch('https://api.weixin.qq.com/sns/oauth2/access_token?appid=xxx&secret=xxx&code=' + code + '&grant_type=authorization_code');
const data = await res.json();
if (data.errcode) throw new Error('微信错误');
await client.set('sess:' + data.openid, JSON.stringify(data), 'EX', 300);
return data.openid;
}
此外，对于明显超出正常峰值的流量，可以开启降级模式：返回“系统繁忙”并引导用户稍后重试，同时后台告警。通过监控微信接口返回的错误码，尤其是45009之类的调用超限提示，能提前发现被刷风险。整体而言，频率限制与防刷不是单一功能，而是从网关到业务、从标识到行为的纵深体系。