做过线上评选的人都懂那种感觉：活动跑了三天，票数一直很平稳，第四天凌晨突然有一个参选人涨了两千票，第五天又恢复正常。你去问，对方说 "都是亲戚朋友在转发"。你心里清楚不对劲，但翻遍后台也拿不出证据，最后只能硬着头皮把结果发出去。

刷票这件事，多数时候不是有人技术多高明，而是活动的机制留了缝。缝在哪儿，往往在建活动的那一刻就定下来了 —— 设置项点得太松，后面再怎么盯着也补不回来；设置项点得太死，又会把真正想投票的人挡在门外。风控不是越多越好，是加在该加的地方。

下面这 4 组设置，基本覆盖了线上评选里最常见的刷票路径。每组都说说它管什么、代价是什么、以及怎么自己验证它到底有没有生效。

一、身份门槛：管住 "一个人能变成多少个人"

这是所有风控里最底层的一道。 刷票的本质是 "一人多票"，而一人多票的前提是 "一个人能低成本地变成很多个账号"。身份门槛就是抬高这个成本。

常见的三档：仅授权登录、授权加手机号、实名认证。授权这一档最轻，参与者点一下就能投，代价是只能确认 "是个真实账号"，养号成本极低；加手机号这一档，一个号对应一个手机号，成本立刻上去，代价是参与率会掉一截，尤其是一些不习惯收验证码的中老年参与者；实名这一档最严，适合金额、名额、资格相关的评选，普通活动用它会显得过重。

评测时看三个细节。 一是授权是否只取基础身份信息，不额外索取头像昵称之外的权限；二是同一个手机号能不能重复参与，有没有做去重；三是 "每人每天几票"" 对同一位参选人只能投一次 " 这类额度，是不是能在后台直接设，而不是靠人工盯。

一个真实的判断标准：如果你自己都说不清 "一个人最多能投几票"，那参与者更说不清，规则就已经输了。

二、频率与设备限制：管住 "投得太快的那些手"

人在正常投票时是有节奏的，机器没有。 点开、看简介、想一想、投票，怎么也要十几秒；而脚本可以一秒投十个。频率限制就是拿这个差异做判断依据。

具体来说看三层：同一设备的操作频次（同一台手机短时间内的投票次数）、同一网络的来源集中度（一场活动里突然有几十票来自同一个网络出口）、以及投票间隔的规律性（每次间隔都在 3 秒左右，整齐得像机器）。好的实现是把这三层做交叉，命中任意两层才标记异常，避免误伤 —— 比如一个班级的学生都用学校同一个网络投票，只看网络就会把整班判成作弊。

这一项最值得自己动手试。 建一个测试活动，自己连投十五次，中途切一次流量、换一台设备，再让同事在同一网络下各投几次，然后去后台看：有没有异常标记、标记得准不准、误伤了多少。有些工具会把 "异常" 直接写成 "无效票" 自动扣掉，这比事后人工排查省事得多；也有些只是弹一句提示，等于没管。

顺带说一句，加验证码是这一层里性价比最高的手段 —— 它成本低、误伤小，专治自动化脚本。如果你只想加一道防线，加它。

三、时间窗与节奏控制：管住 "最后两小时的疯狂"

绝大多数刷票都发生在截止前的最后几个小时。 原因很简单：榜单是实时公开的，谁领先、差多少，一目了然，冲票有了精确目标。所以这一组设置管的不是 "谁能投"，而是 "什么时候能看到、能看到多少"。

三个可调的开关：投票时段限制（比如只在每天 8 点到 22 点开放，避开凌晨集中刷票的高发时段）、票数可见性（投票期间隐藏具体票数，只显示参与人数，结束后统一公示）、以及截止前的锁定（到点即停，不接受任何补票、延时）。

这三个开关都有代价，要看活动性质。 隐藏票数会让活动少一些 "追分" 的热闹感，适合正式评选、评审类活动；反过来，晚会现场、人气比拼这类需要气氛的场景，公开票数反而更有用，那就得靠前两道设置顶住。时段限制也是一样，如果参与者分布在多个时区或者有夜班人群，一刀切会伤到人。

还有个容易被忽略的能力：异常峰值提醒。 一场活动正常时每小时涨几十票，某个参选人一小时涨八百票，这种情况系统能不能主动推一条提醒给主办方，而不是等人第二天早上自己发现。有这个能力的工具，风控就从 "事后补救" 变成了 "事中干预"。

四、结果复核与留痕：管住 "说不清的那一笔"

前三道是防，这一道是兜。 只要活动有排名，就一定会有人质疑，区别在于你能不能给出让人信服的答案。

要看四样东西：异常票能不能单独筛选出来（而不是只能一键清零重来）、被剔除的票有没有记录（时间、来源、判定原因）、活动结束后能不能导出完整明细（按时间、按参选人、按异常状态筛选）、以及投票规则和最终结果能不能生成一份可存档的公示材料。

建议加一个公示期。 结果出来之后先公示 24 小时，接受异议、处理申诉，再正式定稿。这一天的缓冲，能挡掉九成事后纠纷 —— 真有问题当场改，比发出去以后再撤回体面得多。

要提醒的是，数据留存期限最好在建活动时就确认。活动结束两三个月后被问起原始记录，还能不能取回来，这件事平时没人关心，出事时是唯一的凭据。同样，收集手机号这类信息时，用途告知、范围限定、存储方式这些也要提前想清楚，单位、学校主办的活动，信息泄露的后果往往比评选本身严重。

结语

把这四组设置串起来看，其实是一条完整的链路：身份门槛抬高作弊成本，频率限制抓出异常行为，时间窗控制压缩刷票的窗口，复核留痕保证结果可解释。缺哪一环，另外三环的效果都会打折。

最后一个建议：别等正式活动才第一次用这些开关。找一场不影响结果的小活动，把四组设置按你的想法调一遍，然后故意找人连投、换设备投、掐着截止时间投，看看系统怎么反应、误伤了几个人、异常记录长什么样。跑完这一轮，你对自己手里的工具就有数了，也能提前想好万一被质疑该怎么回应。

刷票防不住所有情况，但一套想清楚了的规则，能让九成想动手的人放弃，也能让剩下那一成动手的人无处藏。