九点整放票，第一秒涌进来的请求里，有全家围着一个人手机抢的，也有机器。售票系统在这一分钟里看到的只是请求密度，认不出谁是人。真正要定的不是要不要拦，是凭什么认、拦下来怎么说、说完之后人往哪儿走。

认，两三个信号叠加就够。看下单间隔：从选票到提交，人手再快也要几秒，间隔短到毫秒级又稳得像节拍器的，不像人。看请求来源：正常路径是浏览页、选票、下单一步步走，直接打到接口、跳过页面动作的值得怀疑。看同证件并发：一个证件号同时出现在几笔单里。再看同一设备上来回切换的多个账号。单看任何一条都会误伤，两条同时成立再判，误伤面能小一截。票务系统里做风控最容易犯的错，是拿一条信号做硬拦截，然后把客服推到最前面挨骂。

拦下来要给游客一句人话。只弹“系统繁忙”，游客会一遍遍重试，还会把截图发到外面去。反馈要具体：这次没通过归到哪一类原因，再给一条出路，比如稍后重试、换个时段、到窗口出示这个提示页由人处理。别把“正在排队”和“被拦截”混成同一种提示，前者该让人等，后者该让人停。售票系统在这一层的文案，价值不比算法低，它决定了被拦的人会不会在三分钟之内出现在队伍末尾。

误伤之后要有一条走得回来的路。名单不能只进不出。人工复核的口子要留，处理时限要写清楚，超过时限自动移出；反复命中的另说，但一次误判不该变成永久标记。路径也要短：能在页面上提交、当场能看到受理状态，就不要让人跑第二趟。票务系统里如果没有出口，被误伤的那个人就只剩现场吵这一条路，窗口一天遇上两三回，秩序就乱了。

阈值调高调低，各有各的账。调严，脚本和囤票少了，正常游客被挡的比例上来，客服和窗口压力集中在开售那半小时；调松，进得人多，真正想买的那部分额度被吃掉，后面几小时票一直挂着卖不动。折中做法是分时段：开售后前十几分钟按严的跑，之后逐步放宽，把强度用在最挤的那一段。另一条路是按票种分层，热门场次严、冷门场次松，不必一刀切。

排队这一段，别和拦截搅在一起。被限流的人应当还在队列里，位置能看到、大概等多久能有个范围；被拦下的人不该占队列，否则越挤越长。售票系统里这两种状态的提示、重试次数、超时后的处理都得分开写，写成一套就会互相拖累：正常排队的人被算成异常请求，异常请求又因为排队机制拿到更多重试机会。排队页上也要写清还能不能回来、大概等到什么时候，让人自己判断继续等还是改天再买，票务系统里这个状态和提示语要配套，不能只留一个转圈的图标。

判据很简单：这一分钟过去以后，被拦的人有多少能自己走回来，剩下的是不是都真该拦。这两个数答不上，说明这套规则只是把压力挪到了窗口，而窗口那天的队伍本来就够长了。