凭证填充是指攻击者把大量从数据泄露中获得的用户名/密码组合自动化地尝试在目标网站或服务上登录，以期找到可复用的账号凭证。凭证填充防护的目标是识别并拦截这种基于“已泄露凭证批量尝试”的攻击，保护用户账户和企业系统免受非法入侵、资金与数据损失。
凭证填充的危险在于：凭证来自真实用户，且往往配合代理池以掩饰来源，传统的速率限制或单一风控规则很难完全阻挡。
1. 多信号风控：结合失败率、IP信誉、设备指纹、行为差异与地理一致性进行评分决策。
2. 智能速率限制：按账号、IP、设备和代理类型区分速率策略，低风险用户享受宽松策略，高风险流量严格限制。
3. 强化多因素认证（MFA）：对高风险或首次登录的会话强制二次验证（短信、TOTP、Push）。
4. 密码阻断与检测：阻止已知泄露密码登录；在注册/更改密码时告知并阻止弱/泄露密码。
5. 挑战式交互：对可疑登录引入验证码、人机验证或行为挑战，增加自动化成本。
6. 设备与会话指纹化：记录设备特征与历史登录图谱，若新会话与历史差异大则触发审查。
7. 蜜罐与速率陷阱：为自动化工具设置诱饵路径或速率阈值，以便早期捕捉恶意流量。
8. 后端验证链路（Server-side）：减少对前端像素/JS 的依赖，采用服务器端回传与签名的可信验证流程。
这些策略应结合使用，并随威胁情报与攻击模式动态调整。
凭证填充用的是已有的真实凭证列表，尝试次数通常少但精准；暴力破解是穷举密码空间，尝试量大但通常效率低。
验证码能增加攻击成本，但现代攻击可集成 OCR 或外包打码，验证码应作为多个防护层之一，而非唯一手段。
优先对高风险用户与管理/支付类账户强制 MFA；对全量用户可采用逐步推广与风险触发策略以降低阻力。
立即中断会话、通知用户、强制重置密码并审计异常操作（资金、隐私访问），同时锁定相关源 IP 与设备指纹用于溯源。
优先部署：泄露密码阻断、智能速率限制与登录异常告警；再逐步加入 MFA 与设备指纹。
