批量折扣码被爬走遭大量薅羊毛怎么防范

现象#

上线 48 小时内某 8 折码被兑换 600 次，收货地址集中在同一转运仓，码还出现在三个优惠券聚合站。

原因#

• 短静态码可被枚举，/discount/CODE 链接又能直接分享和批量试探
• 没有设置总使用次数与有效期，一个码泄露就是长期敞口
• one use per customer 按邮箱判断，换邮箱就能重复领
• 公开页面放折扣链接，聚合站与浏览器插件会马上把它抓走

处理步骤#

1. 给每个码设 Limit to one use per customer、总使用上限、结束日期与最低消费
2. 高价值活动改用一次性唯一码，一客一码，泄露也只损失一单
3. 不要把 /discount/ 链接放在公开页，改为邮件或登录后发放
4. 在边缘 WAF 对 /discount/* 与结账折扣接口按 IP 限速
5. 持续监控兑换速率，单码一小时超阈值就暂停并排查来源

验收标准#

同一邮箱第二次兑换提示无效，达到总上限后码自动失效，聚合站抓到的旧码已过期。