Anti-Scraping Part 1: Core Principles to Deter Scraping

反爬系列第二篇：在演示留言板应用上落地限流（limit 参数上限 100）、通用化错误信息等防护，并观察爬虫如何绕过——账号注册与未鉴权 /search 端点仍是软肋，纵深防御才能显著抬高爬取成本。

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

演示可重复重放的 CAPTCHA 如何形同虚设——用 Burp Intruder 重放请求第 86 次即爆出密码。文章给出一次性使用、与会话绑定、服务端校验等实现要点，避免反自动化控制被绕过。

文章系统梳理登录页面常见的绕过手法：SQL 注入、响应篡改、强制浏览（forced browsing）、默认/常见口令爆破与撞库（credential stuffing），并结合真实场景说明各类攻击的利用条件与后果，帮助 Web 安全测试者与防御者评估认证环节的薄弱点。

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。

NetSPI 用 AI 编码工具「vibe coding」构建了一个 Web 应用并进行安全测试，结果好坏参半，说明 AI 生成代码仍需主动安全审查。