给用户发额度，怎么设计才不会被刷

社区里发 API 额度，第一版被人写脚本刷光了。复盘做了四条：

一、额度绑定账号等级，等级靠真实行为（发帖、回复、被点赞）涨，注册就送的额度只够试。
二、每日上限 + 每小时上限，防突发。
三、同 IP 多账号关联检测，超过 3 个账号共用一个 IP 直接冻结。
四、兑换码一次一码，绑定首个使用账号，不可转移。

效果：刷子基本绝迹。正常用户没受影响，因为真实使用的人不会一小时打几百次。

补充：异常检测比规则更有效。看调用间隔的方差，机器人间隔太均匀，真人不会。