一家新开的水果店做拉新活动，新人立减五元，上线三天被领走四百多张券，老板挺高兴，对账才发现，同一批账号收货地址全是同一个小区驿站，实付订单不到两成，两千多块活动预算打水漂。营销活动上线就会被盯上，小程序开发时把口子堵好，比事后追损现实得多。下面这些做法，成本都不高，效果立竿见影。
新人活动是重灾区
羊毛党的基本盘是批量账号：接码注册的小号、改机工具伪造的设备。堵法有几层：新人资格绑定手机号之后，再加一道实人校验或者微信实名信息校验，小号成本立刻翻几倍；同一设备、同一收货地址、同一支付账号出现多个新人号，自动标记人工复核；新人券改成下单后抵扣而不是直接到账，薅了也提不走。那位水果店老板后来加了地址去重和实付门槛，活动照做，刷子基本绝迹。防刷的成本远低于损失，这层账，小程序开发的方案里就该算进去。
领券和核销环节的口子
- 领取限频：同一用户每天领券设上限，别让一张券包被一次领空
- 库存和总量：活动预算封顶，到量自动下线，宁可提前结束也别超发
- 核销校验：券码一次性作废，防止截图二次使用
- 退款回退：券随订单退款自动退回账户，堵住下单退款刷券的漏洞
这四条是基础配置，开发时一句话的事，漏了哪条，活动期间都是账。每个口子单独看都不起眼，连起来就是一道堤坝。
拼团和抽奖更招人
拼团的薅法是成团即退：凑单成团拿低价，发货前退款跑路。对策是成团后设置不可退款期，或者低价团限老客参与。抽奖的薅法集中在概率和次数上：抽奖次数的计算逻辑要服务端校验，不能信前端传值；概率做成真实随机，别让规律被摸出来。有客户的抽奖活动被刷出上万个虚拟币，根子是次数校验写在前端，改机工具一抓一个准。规则校验永远放在服务端，这是底线，不是建议。前端的校验当装饰可以，当防线不行。
异常的识别靠数据
每天看一眼活动数据：领取量突然异常飙升、下单时间高度集中、地址和支付账号高度重合，这些信号出现就人工介入。风控不必做得多么高科技，把基础校验做齐、异常有人看，就能挡住绝大多数顺手薅。发现异常先限流再排查，别等到账了才反应。比格网络给客户做活动功能时，默认带上这套防刷配置，预算花给真实客人，一分都别漏给羊毛党，这句我们写进了交付清单。
