惯例上短信发送肯定是要卡频率的，同一Session、IP、手机号码的发送频率都要有合理的间隔。要不然就会真的被简单攻击了。唯一要注意的是：前台并行、随机、无规律的发送请求，在后台最好使用队列机制串行化，保证递交到短信发送商的API请求，符合应有的频率限制——这个限制可能是明文要求的（一般以QPS，request per second为单位），也可能是约定俗成的。

但是真正麻烦的问题在于：这些限制对于骇客来说，只要资源足够，就都是可以轻易绕过的。（Session客户端随便丢随便换，IP洋葱网络上要多少有多少，手机号码随便编，图形验证码也不过是一层窗户纸，第三方服务几分钱就破一个）

这样的后果就是：不断发出有效的短信请求，对骇客来说并不是什么困难。如果你的后台模型是无特殊处理的并行模型，那就仍然会炸QPS迅速耗光配额。如果后台是串行的，那么就会把队列挤满，让正常用户的短信验证请求排不上队。这个后果仍然是灾难性的。

如果被盯上，就基本上无法逃脱。这正是DDoS的可怕之处。

僵尸网络以及衍生而来的DDoS，本质上都是一种集群欺负单机的不对等竞争。如果说以前寻找漏洞进入系统的骇客，还剩余一点黑客钻研技术的遗风……那么现在的骇客就纯属在黑色的世界中，无脑的进行资源竞争和军备竞赛，配不上称为什么高手，人人得以诛之。

DDoS，人性中欺凌软弱的卑劣，网络上挥之不去的毒瘤！

注： 的短信验证码我没有用过（没有公司资质用不上）。其他的短信提供商我知道还有：聚合数据、LeanCloud、容联云，以及老派的各种“××短信通”等。