免登入結帳是很多人做電商第一個想加的功能。客人不用註冊、不用記密碼，填個資料就能買，轉換率通常會比較好。

用 AI 做這個功能很快。但做出來之後，有個問題一定要問：會不會有人來灌單？

答案是會，而且比登入結帳更容易。免登入的意思就是任何人不留下身分，就能在你的系統裡建立一筆訂單。你要做的是三件事：訪客單只能線上付款、訪客單不能用購物金或累積優惠、要有頻率限制。

一、灌單長什麼樣

先講清楚會發生什麼，你才知道要防什麼。

第一種是假訂單佔資源。有人一次下二十筆貨到付款，貨寄出去沒人收，運費你出。或是課程、活動名額有限，二十筆訂單掛在那裡不付款，真正想買的人看到「已額滿」。

第二種是拿別人的東西付。你的系統有購物金、折扣碼、會員優惠，免登入的訂單如果也能用，就會有人拿別人的 email 或手機號碼，把不屬於他的優惠用掉。

第三種是純粹的騷擾。腳本每秒送一筆，你的後台塞滿垃圾訂單，通知信一封接一封，真訂單埋在裡面找不到。

這三種都不需要什麼技術，只需要你的結帳頁沒擋。而且它們通常不會在你剛上線的時候發生，會在你開始有一點流量、開始投廣告之後才出現，因為那時候你的網站才值得有人來鬧。

二、AI 不會主動幫你加的三條規格

你跟 AI 說「做免登入結帳」，它做的是理想流程：填資料、選付款、送出、完成。它不會替你想壞人怎麼用。

我之前接過一個電商案，客戶要免登入結帳加免登入查詢。我在規格裡直接寫了兩條：訪客單要鎖購物金，防止冒用；訪客單限線上付款，防止惡意亂單。這兩條不是我寫程式想到的，是以前看過人家被灌單之後，變成規格裡的固定項目。

第一條，訪客單只能線上付款。要下單就要當場付錢，付了才成立。貨到付款、匯款這類「先建單後付款」的方式，只開放給登入的會員。這一條擋掉大部分的假訂單，因為壞人不會真的付錢。付了錢的訂單就算是假的，你也沒有損失。

第二條，訪客單不能用購物金跟累積型優惠。購物金是綁在帳號上的資產，沒登入就沒有資格用。折扣碼可以，但要限制次數。

第三條，頻率限制加驗證。同一個來源短時間內下太多筆就先擋，結帳頁加一個驗證機制。這一條擋的是腳本，不是人。

三、一個簡單的判準

不用把每個情境都想過一遍，記一句話就好：

訪客可以買，但不能欠、不能用累積的東西、不能佔著不付。

任何一個功能開放給免登入的人用之前，拿這句話對一下。它會欠你錢嗎？它會用到綁帳號的資產嗎？它會佔住有限的名額或庫存嗎？三個都不會，才開放。

這句話比任何一份安全清單都好記，而且大部分的灌單都會卡在其中一條。之後你要加新的功能，例如預購、分期、加購，也一樣拿這句話對。

四、已經上線了怎麼辦

先去後台看一下，有沒有很多筆未付款的訂單來自相似的資料、相近的時間。有的話，你已經被灌過了，只是還沒發現。

然後照上面三條改。最急的是第一條：訪客單改成只能線上付款。這一條改完，剩下的問題會小很多。

改完之後，自己用無痕視窗開結帳頁，試著不付款下兩筆、試著填一個別人的手機用優惠、試著一分鐘內連送五次。三個都被擋下來，才算做好。

兩個常見的反應

一個是「加個驗證碼就好」。驗證碼擋的是機器，擋不了一個人手動下二十筆貨到付款。

另一個是「那我改回強制登入」。可以，但你當初做免登入就是為了轉換率。強制登入等於把功能整個拿掉，而不是把它做對。問題不在免登入，在免登入的人被允許做太多事。

所以問自己一句：你的結帳頁現在，一個不留身分的人可以不付錢就建立訂單嗎？可以的話，被灌只是時間問題。

如果你做到一半卡住，可以把狀況寫信給我。我每週會在電子報聊這類做網站、用 AI 的判斷，訂閱在這裡：https://iamlouis.ai/subscribe/edm