小前言：
一般来说，现在很多平台注册、登录的时候会涉及到验证码，这样做的目的是为了防止恶意程序恶意访问，从而给服务器造成一定的压力，会浪费一定的资源，大家也都知道，现在这种短信平台，邮箱平台等都是收费的，如果不做这种防范措施，可能你今晚对某短信平台充值，第二天早上醒来就会收到一条消费多少条短信让你去充值的信息。不是吹牛，我以前做过这种事的，我还专门去找这种网站，玩一玩短信轰炸，邮箱轰炸等。
言归正传，该怎么去防范这种措施呢？
·验证码
·IP
·更多
当然，所有安全都不是绝对的，安全和方便自古以来都是相生相克，想安全点，就得麻烦一点，想方便一点，就没那么安全。
验证码限制：
现在网上都有很多jar包直接拿来用就行了，或者使用一些开源框架，比如Apache的jcaptcha等等。但是呢，验证码限制也是可以破解的，但是验证码的防范措施已经阻止了大概70%的恶意程序（本来搞恶意破坏的就不会太多，就算不太多，我们是不是也得防着点）。再说一个额外话题，别人怎么去破解验证码呢？验证码上面会布满几个数字、或者是几个字母、或者是字母数字的组合、也可能是几个汉字、等等。破解验证吗要用到投影直方图分割，卡壳法，二值化等技术，比如这张二维码是4个字母（一般都是这种），把这张图片分割成4份，每份一个字母，然后使用相应的技术破解验证码得到里面的value。所以平时大家所见的验证码的背景都会布满一些条条杠杠，这些不是想扰乱客户的视线，这是扰乱恶意程序的破解。好了，来说说IP怎么限制吧。
IP限制：
IP的限制当然是很重要的，当然，这也是可以破解的，这个留到后面说。 什么IP限制呢？你每访问一个网页或者网站，在后台都可以得到你的IP地址，然后在后台把这个IP记住，你连续给某个手机号 发送验证码吵过多少次，就禁止这个IP发送验证码。
一般情况，是把这个IP放到缓存里，你发一次短信，相应的值就+1，如果超过某个值，后台就不会给这个手机号或者邮箱发送验证码。如果做得次一点，那就把它放到session里，key的话就是你的ip，值得话就是你发短信的次数。
很多人很好奇，这个恶意程序怎么破击IP地址呢？IP地址不是唯一的吗？ 不知道大家听说过代理没有，也就是恶意程序访问的是代理，然后代理去访问你的网站，然后频繁切换代理访问，所以代理是后台多级反向代理所得到的真实IP， 可能你知道这个IP攻击过你的网站，可是你根本找不到这个人，因为你根本无从下手去找。然后你拿着IP上网查一下，发现这个IP的地址是美国洛杉矶。。。
获得客户端真实IP地址的方法一：
public String getRemortIP(HttpServletRequest request) {
if (request.getHeader("x-forwarded-for") == null) {
return request.getRemoteAddr();
}
return request.getHeader("x-forwarded-for");
}
获得客户端真实IP地址的方法二：
public String getIpAddr(HttpServletRequest request) {
String ip = request.getHeader("x-forwarded-for");
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("Proxy-Client-IP");
}
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("WL-Proxy-Client-IP");
}
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getRemoteAddr();
}
return ip;
}
以上方法还不行的话就采用如下方法：
/**
* 获取当前网络ip
* @param request
* @return
*/
public String getIpAddr(HttpServletRequest request){
String ipAddress = request.getHeader("x-forwarded-for");
if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
ipAddress = request.getHeader("Proxy-Client-IP");
}
if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
ipAddress = request.getHeader("WL-Proxy-Client-IP");
}
if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
ipAddress = request.getRemoteAddr();
if(ipAddress.equals("127.0.0.1") || ipAddress.equals("0:0:0:0:0:0:0:1")){
//根据网卡取本机配置的IP
InetAddress inet=null;
try {
inet = InetAddress.getLocalHost();
} catch (UnknownHostException e) {
e.printStackTrace();
}
ipAddress= inet.getHostAddress();
}
}
//对于通过多个代理的情况，第一个IP为客户端真实IP,多个IP按照','分割
if(ipAddress!=null && ipAddress.length()>15){ //"***.***.***.***".length() = 15
if(ipAddress.indexOf(",")>0){
ipAddress = ipAddress.substring(0,ipAddress.indexOf(","));
}
}
return ipAddress;
}
我以前搞过这些东西，还访问各种网站找网站的漏洞，给同学来一个说来就来的短信轰炸。
因为以前翘过这些后门，所以给大家说说我的心路历程，我的爬虫经历，希望对大家有帮助。