大佬们，如何防止 api 被别人恶意调用，目前使用了混淆+wasm+rsa&aes 都防不住

太难缠了，目测是把 wasm 直接拿去加解密了

服务端限流 + recaptcha 认证

防重放+限流

加参数签名算法，把签名算法放到服务器 RPC 上来计算，按照一定的调用比例，识别恶意客户端 ID 。

算法不放在本地，这总没办法了吧。

限制访问 IP

上个 apisix 之类的网关，挑一些插件开启

不太了解灰产解 wasm 怎么个说法，我感觉 wasm 解 AST 还挺麻烦的，但是也许你硬编码了什么字符串密钥或者接口之类的很好搞出来。

@tool2dx http 无状态，灰产搞客户端那不是要开多少开多少，每次都是新 ID 。。。

可以借鉴一下，或许会有点启发

https://zu1k.com/posts/thinking/deception-tactics-in-deepl-api-design/

有的是改内存的， 你再怎么加密它正常用你的客户端去请求你也防不了。

wasm 不需要反编译，直接使用运行时就可以跑起来了，然后把参数放到接口里面调用就行了