公司短信接口被攻击了，怎么防止

有了QQ，微信之后短信的作用对个人好像没有什么特别的用处，平时朋友间的沟通都是通过微信(也有QQ)，渐渐淡化了短信的用处。但是作为开发我们还是会接触短信平台的。

短信现在的用处：

网站和app的安全验证(注册，登陆,修改密码等)
广告推送骚扰
生日祝福(来自理财，保险，银行)
女朋友生气拉黑微信/电话之后的道歉途径
还有自信卖A货的(不知道你有没有收到过)
.......

目前阿里云，百度云，腾讯云都有自己的短信平台，而且我们的系统中也都集成了。
曾经我们正式环境系统配置的是其中一家的短信平台，已经持续运行使用2年了。

在最近使用期间出现了一次被恶意发送好几万条短信(最好在平台上开启每日最大限制，我们没开)。

我们的部分短信接口是public的(忘记密码和注册功能)，不需要授权即可直接API调用，而且我们系统中也是做了部分频控的，但是没有做IP的限制。

一个短信功能究竟该如何开发才能安全呢

一句话：互联网上没有真正的安全，安全是相对的，就是尽可能提升攻击者的代价。

新手：只考虑能不能发送，研究短信平台接口文档，写代码调试，最终可以正常发送短信。写业务相关代码，相关信息存储缓存，等待验证，一个短信功能开发完成。

老手：研究短信平台接口文档，写代码调试，可以正常发送短信。继续封装短信接口，增加频控例如短信发送间隔时间，验证码过期时间，同一账号发送限制，次数限制的间隔时间 等。配置如下

  captcha:
    sms:
      # 短信验证码过期时间(分)
      expire: ${SMS_EXPIRE:5}
      # 验证码发送间隔时间(秒)
      interval: ${SMS_INTERVAL:60}
      # 同一个账号发送次数限制
      limit-time: ${SMS_LIMIT_TIME:10}
      # 次数限制的间隔时间(时)
      limit-interval: ${SMS_LIMIT_INTERVAL:12}

还有会增加接口调用IP限制(防止同一个IP频繁调用接口)，然后写业务代码，完成开发。

还可以过滤一些无效的短信发送，如：

1. 手机号校验：手机号不合格的不发送，可以使用google的组件检查，国内外手机号都可以校验。

<dependency>
    <groupId>com.googlecode.libphonenumber</groupId>
    <artifactId>libphonenumber</artifactId>
    <version>8.12.6</version>
</dependency>

2. 注册功能：系统中已存在的不发送，在发送短信的时候校验手机号是否已注册，而不是真正注册提交数据的时候再校验。

3. 修改密码：系统中不存在的不发送，在发送验证码的时候校验下手机号是否是系统中的用户。