顾客注册被机器人刷出大量垃圾账户怎么办

现象#

后台 Customers 一晚上多了四百多条记录，姓名是随机字母，邮箱是 gmail 随机串，全部没有订单也没有标签。

原因#

• 经典账户的 /account/register 没有图形验证，脚本直接 POST 就能建号
• 主题把注册表单改成自写 HTML，绕过了 Shopify 自动注入的 reCAPTCHA
• 注册后不需要验证邮箱就能留下 customer 记录，机器人只建号不激活
• App Proxy 暴露的订阅接口没有频率限制，被当成批量造号的入口

处理步骤#

1. 在 Online Store > Preferences 打开 Enable Google reCAPTCHA
2. 升级到新顾客账户，登录必须邮箱验证码，脚本无法完成最后一步
3. 在 Customers 用 segment 条件筛 Email contains gmail.com 且订单数为 0，人工确认后再删
4. 自写表单补 honeypot 隐藏字段，并在 App Proxy 后端校验来源与请求频率
5. 批量清理走 customerDelete，单次不超过两百条，避免触发限流

验收标准#

开启保护后脚本再提交注册应返回验证失败，24 小时内新增顾客数回到个位数。