我想问题在于，攻击者只需爬取论坛获取用户名，然后发起“忘记密码”的洪水攻击。
或许我们可以添加一个模式，要求必须精确输入邮箱才能触发“忘记密码”功能，即“严格模式”，默认关闭？
我觉得即使每周被攻击一次也太多了，单靠限流无法解决这一问题。