我认为你最好的选择是关注即将到来的IP，但要从几个方面缓解你提到的问题。首先，使用概率散列(例如，Bloom Filter)来标记之前见过的IP。这类算法非常快，并且可以很好地扩展到绝对庞大的集合大小。其次，使用渐变响应，即服务器延迟添加到每个请求中，根据您“最近”看到该IP的次数来预测。

你的最终目标是让更多的用户购买你的产品。

如果您在一两个小时内释放w00t包，并在一系列IP地址上释放它们，而不是同时将它们释放到任何IP地址，会怎么样呢?

假设你有255袋w00t。1.0.0.0可以在第一分钟购买，2.0.0.0可以在第二分钟购买(可能有2袋w00t可用)，等等。

然后，在255分钟之后，你已经为每个人提供了几袋w00t，尽管很可能不是所有255袋w00t都剩下了。

这将真正的攻击限制在拥有>255台计算机的用户，尽管机器人用户可能能够“拥有”分配给他们的IP范围的w00t包。

没有要求你匹配包的IP公平(你肯定应该使用某种类型的MD5 /随机种子的东西)…如果你增量地分配10袋w00t，你只需要确保它在你的人群中均匀地分配。

如果IP不好，那么您可以使用cookie，并排除向未经过cookie的用户提供一袋w00t的用例。

如果您注意到某个特定的IP、cookie或地址范围具有非常大的流量，请按比例在稍后/最后向它们提供w00t包，以便偶尔/稳定/缓慢的访问者在重度/快速/可能的bot用户之前获得机会。

——罗伯特。

我不明白为什么IP地址过滤必须是非常昂贵的。使用IIS，您可以构建一个ISAPI过滤器来在本机代码中执行此操作。我相信apache也有类似的接口。使用客户端的IP地址，您可以为HTTP请求编写一个简单的速率限制器，它不依赖于禁止列表或其他类似的废话。

我的想法(我还没有检查所有其他的，所以我不知道它是否新颖)

处理蜂群:

Convert the front-page matter for each day's stuff to be a flash/flex object. Yes, some people will complain, but we're looking for the common case here, not the ideal. You should also randomize the name of your flash objects, so they aren't in any predictable pattern of names. Using Akamai or another CDN, deploy this flash object in advance to the outside world. Akamai produces what appears to be random URLs, so it makes it hard to predict. When it is time for a new sale, you just have to change your URL locally to refer to the appropriate object at Akamai, and people will go fetch the flash object from them to discover if the deal is a BoC or not.

一天结束-你现在有Akamai处理你的午夜交通蜂群

处理购车事宜

Each of the flash objects you create can have lots and lots of content hidden inside - images, links, arbitrary ids, including 'bag of crap' in a thousand places. you should be able to obfuscate the flash as well. When the flash object "goes live", people will start to attack it. But there are so many false positives that a simple string scan is useless - they'll have to simulate running the flash locally. But the flash doesn't write text. It draws lines and shapes. Shapes in different colors, all connected to timers that make them appear and disappear at different times. If you've seen the Colbert Report, you know how the intro has hundreds of words describing Colbert. Imagine something like that for your intro, which will always include Bag O Crap. Now, imagine that the intro takes an arbitrary amount of time - sometimes a few seconds, sometimes as long as a minute or more (make it funny) Meanwhile, "Bag O Crap" is constantly showing up, but again, clearly as part of the intro. Finally, the actual deal of the day is revealed, with an active 'shimmer' effect that makes it difficult for any single snapshot of the canvas to reveal the actual product name. This is floating above an animated background that still says 'bag O crap' and is constantly in motion again, all of this is handled with lines and shapes, not with text strings

最终的结果是——你的黑客被迫拍摄交易的大量图像快照，弄清楚如何分离所有的假阳性和识别实际交易。与此同时，人类只是看着它，由于眼睛疲劳和我们填补文本空白的能力，我们可以原原本本地阅读交易。

这不会永远有效，但会在一段时间内有效。

另一个想法是简单地限制人们购买中行，除非他们以前用该账户购买过东西，并且永远不让他们再购买中行。

从没想过我会推荐闪光灯，但是闪光灯呢?不管是不是交易时间，让服务器发送异步加密内容到flash文件信号。只要响应是相同大小的交易或没有交易，机器人就不能分辨它是哪一个。

在更一般的层面上，您需要关注人类和浏览器拥有的资源，而脚本机器人没有，并利用对人类/浏览器来说容易而对机器人来说很难的东西。验证码显然是一个简单的尝试，但不适合你的网站，因为你说。Flash将淘汰大量的机器人，只留下驱动真正浏览器的(较慢的)机器人。解决方案可能比验证码简单得多，如果它只需要用户点击正确的位置。

利用人类的大规模并行图像处理能力!

让浏览网站变得昂贵。

没有办法，我知道，可以保持一个机器人出你的网站。我甚至知道一种服务，有人为你扫描网站。你会怎么处理?

对于机器人来说，最糟糕的事情是，当站点发生变化时。过了一段时间，让机器人继续运行会变得昂贵或无聊。你的网站上可能有更新，看起来像一个新产品，但实际上不是。如果你的更新不规律且不可预测，那么对于机器人来说，事情就会变得非常困难。

禁用IP可能是一种对策，只要它是一个已知的IP。违法者需要使用代理。我所知道的代理工作得很好，但会大大减慢您的速度。