大概三年前，遇到过这样一个系统需求，被安全团队及时发现，避免了引起大规模的问题。
事情是这样的，我们有一个比较老的外购卡券管理系统，之前都是实体卡直接核销的。
后来逐步上线了各大电商平台，就需要通过虚拟卡的方式，通过短信将激活地址、卡号、卡密直接发送给客户，客户可以直接注册、激活。
但这时遇到了两个问题：
1、客户需要复制卡号、卡密到激活地址，操作比较繁琐
2、卡号、卡密都很长，会造成一个短信无法成功发送，需要拆分成两个短信发送，同样是不方便
业务方希望客户操作更加方便，与供应商沟通，供应商提供了这样一个方案：
1、客户下单完成后，将激活地址+卡号+卡密，一起生成一个短链
2、直接将短链通过短信发给客户
3、客户点击短链，一键绑定
听起来一起都很美好是不是？
但很快就被安全团队质疑了，攻击思路是这样的：
1、暴力枚举短链，批量获取短链实际地址
2、匹配地址，批量抓取卡号卡密
3、申请账号，绑定卡号卡密，攻击成功
于是这个需求被判定为高危风险，直接就被否定了。