表单接口保护应区分垃圾咨询、重复提交和恶意输入。验证码只能参与防护，不能解决所有问题。
在服务端校验
限制长度和字段类型，防止用户操纵邮件收件人与邮件头。
控制处理成本
设置频率与重复检测，异常请求不触发昂贵任务。正常失败提示可重试。
观察业务反馈
检查误拦截和邮件投递，保留人工咨询渠道。存储与日志只保留跟进需要的信息。
表单防护兼顾正常提交
服务端检查字段、请求频率及必要验证码，去重同时保留合法重试。
记录拒绝原因与消息接收状态，减少垃圾不等于提高服务；误拦截需能定位和调整。
例如验证码通过但同一请求高速重复，仍应做频率和去重处理，不能只依赖一次验证。
相关阅读：网站与小程序API：鉴权、对象授权和限流。