同 IP 多账号登录分析只读线上查询
口径：库时区、不做时区转换 · 第 1 节为近 1 天滚动；Top20 / 对照段自 2026-10-24 00:00 ·
成功登录 type IN (1,5) ·
排除办公室 IP 与 192.168.*
结论：
同 IP 多账号大多是正常 NAT / 中介工作室出口，不宜封 IP；
风险不在「共址」，而在「同设备切号 + 房客未认证新号池」。
- 近 1 天同 IP 多账号约 1.9 万人，91% 只登 1–3 次；10 次以上仅约 90 人（0.5%）。
- Top20 多数是已认证中介大 NAT；优先观察
203.66.245.242/243、106.105.110.246/247（房客、未认证、App），不要按登录密度一把封。
- 可疑 IP（人工圈定，优先深挖）：
36.235.76.209（批量上传发帖）、
125.227.128.1（401 5.5% + Token 狂刷）
- 正常用户对照：同 IP 单日账号数约 1，与 Top 异常差两个数量级。
- 规则建议：盯
device_id 多账号、短时反复重登、未认证新号；不要用「同 IP 多账号」单独判黑。
1. 同 IP 多账号 · 登录次数区间总览（近 1 天）
定义：近 1 天滚动窗口内，某 IP 上至少出现 2 个不同账号的成功登录 → 落入「同 IP 多账号」；
再统计这些账号在该场景下的成功登录次数。
区间做成不重叠：1–3 / 4–6 / 7–10 / 10+（避免 3、6 边界双计）。
| 登录次数区间 |
人数 |
占比 |
| 1–3 次 |
17,170 |
91.0% |
| 4–6 次 |
1,329 |
7.0% |
| 7–10 次 |
274 |
1.5% |
| 10 次以上 |
90 |
0.5% |
| 合计 |
18,865 |
100% |
这批人合计 33,602 次成功登录 · 人均约 1.78 次 · 单人最高 42 次。
1.1 各区间随机抽 1 个 IP
抽样方式：近 1 天「同 IP 多账号」用户按登录次数落入区间后，每区间 RAND() 取 1 人，取其主贡献 IP 做画像。
单次抽样，不可外推为该区间全体。
| 区间 |
抽样 IP |
IP 上账号 |
成功登录 |
身份结构 |
设备 |
失败率 |
结论（大概原因） |
| 1–3 次 |
114.137.183.220 |
2 |
3 |
房客 ×2，均未认证，老号 |
2 设备，不共享 |
0% |
家用 / 公共 Wi‑Fi 偶发共址 |
| 4–6 次 |
125.229.182.146 |
6 |
24 |
中介 ×6，全认证，无近 30 天新号 |
6 设备；有 1 组跨账号同设备 |
0% |
中介工作室 / 小型 NAT |
| 7–10 次 |
220.128.102.80 |
5 |
16 |
中介 ×5（4 已认证 / 1 未认证），偏 PC |
6 设备，互不共享 |
0% |
中介办公出口（多人各用各机） |
| 10 次以上 |
61.63.182.161 |
2 |
13 |
中介 ×2，均已认证；主号 1.5h 内登 12 次 |
同一 device_id 切两个账号 |
0% |
同设备多账号 + 反复重登 |
分区间读法
- 1–3：低密度共址，像家用 NAT / 咖啡厅 Wi‑Fi，不是异常主体。
- 4–6 / 7–10：抽样都落在「已认证中介 + 多设备」，更像工作室共享出口，不宜封 IP。
- 10+：这次不是大 NAT，而是 同设备切号 + 短时反复登录（可能会话抖动 / 切账号操作）。
对规则的启示
- 「同 IP 多账号」本身几乎不构成风险信号。
- 更值得盯：同
device_id 多账号、短时高频重登、房客未认证新号池。
- 本抽样 10+ 不是房客池形态；房客池仍以 Top20 中的 203.66 / 106.105 为代表。
2. 外网 Top20
排序依据：单日最大 COUNT(DISTINCT userId)
| # |
IP |
单日最大 |
峰值日 |
命中天数 |
峰值日登录 |
7天用户 |
主身份 |
认证 |
新号 |
失败率 |
端 |
标签 |
| 1 | 61.216.27.67 | 267 | 10-27 | 7 | 469 |
546 | 中介 96% | 高 | 极低 | 1.6% | 全 PC |
中介 NAT |
| 2 | 203.66.245.243 | 57 | 10-29 | 4 | 87 |
130 | 房客 88% | 0% | 偏高 | 0% | 全 App |
房客池 |
| 3 | 203.66.245.242 | 51 | 10-28 | 4 | 82 |
136 | 房客 90% | 0% | 偏高 | 1.3% | 全 App |
房客池 |
| 4 | 118.163.89.107 | 23 | 10-28 | 5 | 31 |
56 | 中介 95% | 高 | 低 | 0.8% | PC+App |
中介 |
| 5 | 36.235.76.209 | 23 | 10-27 | 4 | 51 |
52 | 中介/公司 | 100% | 无 | 0.6% | 全 PC |
可疑 |
| 6 | 106.105.110.247 | 23 | 10-27 | 3 | 34 |
56 | 房客 89% | 0% | 偏高 | 0% | 全 App |
房客池 |
| 7 | 106.105.110.246 | 21 | 10-28 | 3 | 30 |
53 | 房客 89% | 0% | 偏高 | 0% | 全 App |
房客池 |
| 8 | 220.135.142.167 | 21 | 10-27 | 2 | 24 |
21 | 中介 100% | 100% | 无 | 14.3% | 偏 PC |
失败率高 |
| 9 | 104.28.198.10 | 19 | 10-27 | 5 | 24 |
63 | 房客 78% | 低 | 有 | 0% | 偏 App |
Cloudflare |
| 10 | 125.227.168.160 | 18 | 10-27 | 2 | 28 |
32 | 中介 94% | 高 | 无 | 6.5% | PC+App |
中介 |
| 11 | 1.34.17.37 | 18 | 10-27 | 1 | 20 |
28 | 中介 100% | 高 | 无 | 4.1% | 偏 PC |
中介 |
| 12 | 104.28.230.10 | 17 | 10-28 | 4 | 22 |
53 | 房客 87% | 低 | 有 | 3.9% | 偏 App |
Cloudflare |
| 13 | 1.171.122.225 | 17 | 10-26 | 1 | 20 |
19 | 中介 100% | 100% | 无 | 0% | 偏 PC |
中介 |
| 14 | 114.34.161.241 | 16 | 10-27 | 3 | 29 |
33 | 中介 91% | 高 | 无 | 1.0% | PC+App |
中介 |
| 15 | 125.227.128.1 | 16 | 10-27 | 3 | 34 |
34 | 中介 88% | 高 | 无 | 1.2% | 偏 PC |
可疑 |
| 16 | 118.99.180.249 | 16 | 10-27 | 2 | 27 |
33 | 中介 85% | 高 | 无 | 0% | PC+App |
中介 |
| 17 | 118.168.222.62 | 16 | 10-28 | 2 | 23 |
27 | 中介 81% | 高 | 无 | 0% | PC+App |
中介 |
| 18 | 118.168.192.198 | 16 | 10-26 | 1 | 18 |
25 | 中介 88% | 高 | 无 | 0% | 偏 PC |
中介 |
| 19 | 114.33.71.207 | 15 | 10-27 | 1 | 21 |
29 | 中介 93% | 高 | 无 | 0% | 偏 PC |
中介 |
| 20 | 122.116.28.232 | 15 | 10-27 | 1 | 22 |
34 | 中介 88% | 中 | 无 | 0% | PC+App |
中介 |
分组 A：正常中介 NAT（观察）
- 61.216.27.67、118.163.89.107
- 1.34.17.37、1.171.122.225、114.34.161.241
- 125.227.168.160
- 118.99.180.249、118.168.222.62、118.168.192.198
- 114.33.71.207、122.116.28.232
分组 B：需抽查
- 房客池：203.66.245.242 / .243（重叠约 65 人）
- 房客池：106.105.110.246 / .247（重叠约 22 人）
- Cloudflare：104.28.198.10 / .230.10（不当真源封禁）
- 失败率高：220.135.142.167（约 14.3%，观察即可）
分组 C：可疑 IP（人工圈定）
36.235.76.209 — Top20 #5；中介/公司、全 PC；7 天 2.4 万请求，上传+发帖为主125.227.128.1 — Top20 #15；中介偏 PC；7 天 10.9 万请求，401 5.5% + Token 狂刷
2.1 Nginx 侧证（可疑 IP 明细）
数据源：Nginx Access 近 7 天 ·
过滤上述 2 IP · 合计约 133,685 次请求
| IP |
7天请求 |
主设备 |
device_id |
401 |
侧证结论 |
| 36.235.76.209 |
24,405 |
pc 56% / - 43% |
173 |
~0% |
批量发帖/上传工具像 |
| 125.227.128.1 |
109,280 |
pc 71% |
1,022 |
5.5%（6,037） |
高 401 + Token 狂刷 |
36.235.76.209 · Nginx 证据
- 按日：10-24 2.1k → 10-25 4.6k → 10-26 6.0k → 10-27 7.0k → 10-28 4.6k；10-29/30 无流量
- 域名：user.591 7.6k · bff-user 5.5k · bff-market 1.6k
- URI Top：
uploadPartUrl/uploadComplete 各 2,711；
__cross-storage__* ~7.5k；
/v1/post/community/suggest 889；
/v1/post/address/street/list 501
- 登录相关：
/v1/oauth/getToken 341 · /v1/oauth/login 168 · /login 171
- UA：残缺 Windows Chrome 占 24,381 / 24,405（几乎 100%）
- HTTP：200×23,606 · 302×498 · 499×301（无显著 401）
125.227.128.1 · Nginx 证据
- 按日：10-25 21k · 10-26 20k · 10-27 33k · 10-28 17k · 10-29 0.5k · 10-30 19k
- 域名：bff-user 36k · bff-im 9.6k · bff-house 9.3k · bff-market 8.2k
- URI Top：
/v1/user/config 3,575 ·
summary 2,919 ·
getToken 2,870 ·
AI 客服 count 2,661 ·
cross-storage ~6.8k
- 登录相关：refreshToken 407 · oauth getToken 278 · oauth login 101 · user-login.html 108
- 发帖/上传：get-replace-ware-info 1,118 · uploadPart/Complete 各 ~1,054
- HTTP：200×99,324 · 401×6,037（5.5%） · 304×1,647 · 499×552
- UA：Windows 93.6k · CloudFront 13.0k · 少量 iOS App
Nginx 侧证结论：
二者都不是房客逛房形态，而是 B 端 PC 中介出口。
36.235.76.209 偏「批量上传 + 发帖工具」；
125.227.128.1 偏「会话 Token 狂刷 + 401 偏高」。
足以支持按账号 / device_id 继续深挖，仍不足以直接封 IP。
3. 正常用户横向对比
样本条件：已认证中介、近 7 天有登录、主 IP 不在上述 Top20。
3.1 对照用户
| 用户 ID |
身份 |
注册日 |
近7天成功登录 |
活跃天数 |
使用 IP 数 |
端 |
所在 IP 单日账号数 |
| 4639180 | 中介·已认证 | 2024-12-28 |
7 | 4 | 3 | App | 1 |
| 4637437 | 中介·已认证 | 2024-12-26 |
3 | 3 | 2 | App | 1 |
| 4633381 | 中介·已认证 | 2024-12-22 |
2 | 2 | 2 | PC | 1 |
3.2 对照用户所在 IP 密度
| IP |
7天用户数 |
单日最大账号数 |
失败 |
| 49.217.202.165 | 1～2 | 1 | 0 |
| 49.217.129.205 | 2 | 1 | 0 |
| 118.166.99.132 | 1 | 1 | 0 |
| 27.53.130.201 | 1 | 1 | 0 |
| 111.254.238.240 | 1 | 1 | 0 |
3.3 横向对比
| 指标 |
正常样本 IP |
61.216.27.67（大 NAT） |
203.66.245.242（房客池） |
| 单日最大账号数 |
1 |
267 |
51 |
| 7 天去重用户 |
1～2 |
~546 |
~136 |
| 主身份 |
中介/屋主零星 |
中介 96% |
房客 90% |
| 认证率 |
高 |
~97% |
0% |
| 新号 |
样本为老号 |
极少 |
偏多 |
| 失败率 |
0% |
~1.6% |
~1.3% |
| 解读 |
一人一出口 |
多人共享出口（用户可正常） |
共享出口 + 身份结构异常 |
读法：
正常用户 = 自己账号、少数 IP、同 IP 几乎只有自己、低频登录。
61.216.27.67 的异常在密度，不在单个用户；
203.66.245.242 的异常在房客 + 未认证 + 新号结构（Nginx 显示其主要在正常逛房，不像刷登脚本）。
正常中介也可能偶发落到大 NAT，不能单靠「用过该 IP」判黑。
4. Nginx Access 侧证（设备 / URL）
数据源：Nginx Access 近 7 天 ·
按 IP 聚合设备类型、设备 ID、URL path Top ·
过滤 Top 相关外网 IP · 命中约 1,841,006 次请求
Nginx 结论：
登录库回答「谁登录了」；Nginx 回答「登录后在干什么」。
房客池 = C 端 App 逛房；中介出口 = B 端 PC 后台。
房客池流量最大，但行为像真实用户，不宜封 IP；
若继续查，改按 device_id / 账号看一机多号。
4.1 两类出口对照
| 类型 |
代表 IP |
主设备 |
典型 URL |
结论 |
| 房客池（C 端） |
203.66.245.242 / .243
106.105.110.247 |
ios ≈ 58–61%
touch ≈ 25–28%
pc < 1% |
/api.php、scene-focused、
社区动态、物件图、地图、出售列表 |
运营商 NAT 上的 App 逛房；多 device 长尾 |
| 中介出口（B 端） |
118.163.89.107
114.34.161.241 等 |
pc ≈ 62–82% |
/v1/user/config|getToken|summary、
客资/AI 客服、优惠券、__cross-storage__ |
中介后台会话；与登录库「中介」互证 |
| 可疑 IP |
36.235.76.209
125.227.128.1 |
偏 PC |
36.235：uploadPart/Complete ×2711
125.227：getToken 2.9k · 401 5.5%
|
详见 §2.1；不先封 IP |
| 失败率高 |
220.135.142.167 |
pc ≈ 68% |
后台 API + getToken / firebase-sw |
观察登录失败与会话，不列入可疑清单 |
4.2 按 IP · Nginx 请求量 Top（本次聚合桶）
| # |
IP |
7天请求 |
主设备类型 |
URL Top（摘要） |
标签 |
| 1 | 203.66.245.243 | 216,278 |
ios 132k / touch 54k |
api.php、scene-focused、dynamics、recommend |
房客池 |
| 2 | 203.66.245.242 | 207,024 |
ios 121k / touch 56k |
与 .243 高度同构（逛房 API） |
房客池 |
| 3 | 118.163.89.107 | 161,134 |
pc 111k |
user/config、getToken、summary、agent/customer |
中介 PC |
| 4 | 114.34.161.241 | 128,269 |
pc 84k |
user/*、cross-storage、ai/customer |
中介 PC |
| 5 | 125.227.128.1 | 109,280 |
pc 77k（71%） |
config 3.6k、summary 2.9k、getToken 2.9k；401×6.0k（5.5%） |
可疑·Token/401 |
| 6 | 118.168.192.198 | 100,369 |
pc 82k |
后台 API + uploadPart/Complete |
中介·含上传 |
| 7 | 220.135.142.167 | 94,097 |
pc 64k |
getToken、config、firebase-sw |
失败率高 |
| 8 | 122.116.28.232 | 89,056 |
pc 55k |
user/*、cross-storage、客资入口 |
中介 PC |
| 9 | 106.105.110.247 | 86,374 |
ios 50k / touch 25k |
与 203.66 房客池同模板 |
房客池 |
| 10 | 118.99.180.249 | 84,750 |
pc 53k |
cross-storage、user/*、coupon |
中介 PC |
Top10 以外约 569,946 次落入 other（含 61.216.27.67、106.105.110.246 等）。
61.216.27.67 登录账号密度高，但 Nginx 总请求量未必进前十（此前约 2.3 万级）。
可疑 IP 36.235.76.209 7 天约 24,405 次（未进本表 Top10），明细见 §2.1。
4.3 可疑 IP Nginx 摘录（与 §2.1 同源）
| IP |
请求 |
关键 URI / 状态 |
解读 |
| 36.235.76.209 |
24,405 |
uploadPart/Complete 各 2,711；
post/community/suggest 889；
oauth login 168；
10-29/30 无流量
|
批量发帖/上传工具节奏，非逛房 |
| 125.227.128.1 |
109,280 |
getToken 2,870 + config/summary ~6.5k；
401×6,037（5.5%）；
上传各 ~1,054
|
后台会话抖动 + 鉴权失败偏高 |
4.4 房客池互证（设备 ID 跨 IP）
203.66.245.242 与 .243 出现多个相同 device_id，例如：
84e2b2bc308e4c898af38c4501d60f7bdcdc5f9d375a4836a310191b6f162953888e0ab4fd7e47b3b65671975973c4086ff2e143d7c9408e9a463378b1146b55892354a0f6a547179540dff1d4fab35cd943a0489b26487b8ebcc59a4646a314
说明两 IP 是同一运营商出口池，设备在池内漂移；与登录库「重叠约 65 人」一致。
device_ids.sum_other 很大 → 多终端长尾，不是少数机器狂刷。
4.5 与登录库对齐
| 登录库结论 |
Nginx 是否支持 |
| 房客池优先深挖 |
支持：流量最大；但是逛房 App，不是发帖脚本 |
| 多数中介 NAT、不宜封 IP |
支持：PC 后台特征清晰 |
| 房客池异常在未认证/新号结构 |
支持：Nginx 行为偏正常浏览；异常应在账号维继续查 |
| 正常用户单日约 1 账号 |
Nginx 不直接数账号；共享出口解释了高密度来源 |
4.6 处置建议（融合后）
不要做
- 封
203.66.245.242/243、106.105.110.246/247
- 仅因「同 IP 多账号」批量封中介 NAT
- 把 Cloudflare IP 当真实源封禁
建议做
- 房客池：按
device_id / 账号查一机多号、未认证新号
- 中介 NAT：观察即可；标签用
agent_nat_pc
- 可疑 IP 优先深挖：
36.235.76.209、
125.227.128.1
- 风控拆标签：
guest_nat_app vs agent_nat_pc