不加图形验证码如何保证短信接口的安全？

Question

例如：
短信接口地址—— http://a.php.com/api.php
因为需要其他域请求，如http://xx.php.com，所以接口添加了header("Access-Control-Allow-Origin: *");
那么不加图形验证码，如何保证短信接口不被恶意调用？

Answer 1

这些问题和回答都是在搞笑吗？
segmentfault的技术水平这么低，我实在懒得吐槽！

先看问题，加了跨域你要强调吗？这问题和跨域没有任何关系，跨不跨域，你的短信接口都是会被盗刷的！

还有那些回答，什么鬼user_token，搞个名词就可以解决问题吗？我随便写个盗刷脚本，你给不给我user_token？也一样给啊。。

又看那个什么根据ip加1，现在代理服务器一抓一大把，怎么限啊？

这个问题竟然只有一个答案回答到了点，而这个答案竟然被折叠了，这到底是segmentfault的问题，还是国内的技术水平就真的这样了？

问题的本质是：区分人和机器啊，大哥。不区分人和机器，什么user_token，机器都可以仿的。

或者题主直接用些集成好的账号系统吧，比如 http://www.onlyid.net 之类的，就没这些烦心事了！

Answer 2

可以给每个用户加一个user_token，这个user_token是惟一的，当用户发送请求时把user_token发给服务器验证，可以防止恶意攻击。。

Answer 3

设置那个header头和恶意调用没什么关系。
想防止恶意调用有很多方法，＄server超全局变量获取ip，每次调用后往cache对应的ip键加1，每次调用进行判断。
或者在表单添加user_token。
方法很多

Answer 4

公钥传输和私钥加密

Answer 5

1、基于其他形式做校验
2、用客户端特征校验

Answer 6

Session

Answer 7

1 自研验证码被破解怎么办？

1） 腾讯防水墙
2）网易滑动拼图验证码
3）顶象滑动拼图验证码
4）极验滑动拼图验证码

2 所有图形验证码都被破解怎么办？
选用新昕科技研发的企业短信防火墙，理由 ：

1  应用AI立体防御技术，训练出“防短信轰炸”智能模型，彻底解决“安全”与“用户体验”的矛盾，互联网产品专注用户体验，无需为安全让步。
2 丰富可视化图表，防御拦截数据尽收眼底，实时查看当日数据详情与近期风险趋势。
3 SAAS极速接入，本地部署运行，毫秒级响应。交易风控引擎浓缩10M安装包，极速采集基础数据，匹配多维度风险特征。避免“云模式”网络延时问题。 

Answer 8

按我的理解，是没有办法的。
基于一个很简单的原则考虑：业务场景可能有很多人调起你的短信接口，而只有图形验证码才能最有效识别对方是人，而不是robot。