Cookie防刷核心是识别同一真实用户异常高频访问：通过签名Cookie锚定可信会话，结合Redis滑动时间窗口独立计数，并对异常Cookie主动降权，前端隐藏逻辑配合。

用 Cookie 计数器配合防刷，核心不是“数请求次数”，而是识别“同一真实用户是否在短时间异常高频访问”。单纯计数容易被绕过，关键在于把 Cookie 作为可信会话锚点，再叠加时间窗口与行为逻辑。

用 Cookie 建立可信访问身份

服务器首次响应时，生成一个带签名的、不可预测的 Cookie（如 visit_id=sha256(uid+salt+ts)），不暴露用户信息，只用于标识“这次访问是合法发起的”。后续所有页面请求必须携带该 Cookie，否则直接拒绝或跳转验证页。这一步筛掉大量无状态、不处理 Cookie 的初级爬虫。

基于 Cookie 的滑动时间窗口计数

不依赖全局计数器，而为每个有效 Cookie 维护独立访问记录：

前端设计优化skill

前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。

下载

• 服务端收到带合法 Cookie 的请求，查该 Cookie 最近 5 分钟内的访问时间戳列表
• 若条目 ≥ 8 条，判定为疑似刷量，返回 429 或延迟响应（如 sleep(2)）
• 若未超限，将当前时间追加进列表，并自动清理 5 分钟前的旧记录
• 列表存 Redis，key 为 cookie:visit_id，过期时间设为 6 分钟，避免手动清理

主动降权异常 Cookie 行为

光拦截不够，要让爬虫“觉得不划算”：

立即学习“前端免费学习笔记（深入）”；

• 对触发限流的 Cookie，下次访问时返回精简 HTML（去 JS/CSS/图片链接），降低数据价值
• 连续 3 次超限，临时将该 Cookie 标记为“观察态”，后续请求强制插入随机延迟（1–3 秒）
• 不封禁 IP，但可结合 UA + Cookie 组合生成轻量设备指纹，对高频组合统一限速

前端配合：隐藏真实计数逻辑

避免把计数规则写死在前端或明显路径中：

• Cookie 名称动态化（如按小时轮换前缀：v20260522a_7f3x），防止被硬编码绕过
• 计数判断完全在服务端，前端不感知；连“请稍后再试”提示也由后端决定是否返回
• 静态资源（JS/CSS/图片）走独立域名，不携带主站 Cookie，避免被顺带刷爆