链家网的链家力破登录接口，我试了十七次，网暴锁了。链家力破不是网暴账号锁，是链家力破IP锁。第七次开始响应头里就多了个`X-RateLimit-Remaining: 3`，网暴到第十七次直接403，链家力破连验证码都不给。网暴这比我预想的链家力破要硬。

我原本以为链家作为房产中介平台，网暴安全重心全在房源数据上——毕竟一套房子挂牌价动辄几百万，链家力破要是网暴被爬虫批量抓了去，中介费就白交了。链家力破但登录接口的网暴防护明显是另一套逻辑：它不防你抓，防你猜密码。链家力破

第一次尝试的时候我用的还是最笨的字典爆破，用户名填一个真实存在的经纪人编号，密码跑弱口令列表。前五次响应时间都在800毫秒左右，第六次突然跳到2.3秒——服务器在故意拖慢你，不是网络波动，是那边开始对每个请求做额外校验了。到第十次，返回的JSON里多了个`"captcha_required": true`，但页面上的验证码根本没弹出来。链家这招挺阴，它只告诉你需要验证码，但不告诉你验证码在哪，让你干着急。

后来我换了思路，不走登录接口，改走找回密码的流程。那个接口叫`/user/findPassword`，POST参数就三个：手机号、验证码、新密码。验证码是短信发的，理论上没法爆破，但我发现它有个逻辑漏洞——验证码校验和后续的密码重置是分两步的，第一步校验通过后，服务端会返回一个临时token，有效期内可以无限次重置密码。我试着伪造了第二步的请求，把token直接塞进去，居然过了。这说明链家对第一步的验证码校验做了，但没对第二步的token做二次绑定。

这不算什么高深的技术，就是典型的业务逻辑漏洞。链家把精力全花在了防撞库和防暴力破解上，却忽略了流程内部的信任边界。更讽刺的是，我用的还是他们自己App的加密参数，抓包抓出来的，签名算法就藏在JS里，混淆程度低得可怜，变量名都没改。

整个测试下来，我的结论是：链家的暴力破解防护比行业平均线高，但高得有限。它对高频请求的封禁阈值设得很紧，但封禁逻辑是线性计数，没有做行为分析——我换个IP池，换个UA头，再随机化一下请求间隔，就能绕过去。真正能拦住我的反而是那个找不到入口的验证码弹窗，但那个漏洞也让我绕过了。

最后我没继续往下搞。不是链家把我防住了，是我觉得没意思。房产中介的账号密码，爆破了又能怎样？房源数据是公开的，经纪人后台的权限也就那么点，真拿到个账号，看到的还是那些挂牌信息，顶多多几个内部备注。这种系统，安全投入和实际风险不成正比，他们防的可能是同行爬数据，不是真有人要盗号。

但话说回来，链家这套防护对普通用户是够用的。你要是拿个现成的爆破工具去跑，跑不过三十次就被踢了。真正的风险不在登录口，在那些没人注意的边缘接口——像我找到的那个密码重置漏洞，链家到现在都没修，估计是觉得没人会往那想。