LayerCall

LayerCall SDKs

LayerCall 的官方客户端——只需一次调用，即可评估 IP、 邮箱、电话号码、域名或整个注册流程的欺诈风险。

	安装	文档
Node / TypeScript	npm i layercall	node/README.md
Python	pip install layercall	python/README.md
CLI	npx layercall ip 8.8.8.8	见下文

两个客户端都没有任何依赖项。信任检查位于注册流程中， 而这正是应用程序中最不适合引入依赖树的地方。

获取免费 API 密钥——每月 1,000 次查询， 无需信用卡，也没有每日上限。

无需安装即可试用

export LAYERCALL_API_KEY=tl_live_...
npx layercall ip 8.8.8.8
npx layercall email [email protected]
npx layercall domain example.com
npx layercall user --ip 1.2.3.4 --email [email protected]

返回内容

每个端点都返回相同的结构：0–100 的 risk_score、 allow | review | block 判定，以及背后的信号。

{
  "ip": "185.220.101.1",
  "risk_score": 60,
  "verdict": "review",
  "signals": {
    "is_vpn": true,
    "is_proxy": true,
    "is_datacenter": true,
    "is_tor": true,
    "recent_abuse": false
  },
  "geo": { "country": "DE", "city": "Berlin", "asn": "AS60729" },
  "vpn_provider": null
}

集成前值得了解的两件事

优先采用升级验证，而不是拒绝。 review 区间从普通商用 VPN 所处的风险水平开始，而大多数 VPN 用户都是普通客户。让他们通过 OTP 或 3-D Secure 验证，而不是直接拒绝：真实用户几秒钟即可完成验证， 攻击者则不行；误报带来的只是额外操作，而不是失去客户。这也是 Stripe Radar 和 Sift 最终达成的共识。

null 表示未知，而非“否”。 当 TLD 不提供 RDAP 时，newly_registered 的值为 null（包括 .de、.ru、.ac.uk 等）；当邮件服务商没有如实回应时， mailbox_exists 的值为 null——Gmail 和 Yahoo 会接受发往不存在地址的邮件。 将这两种情况都视为否定结果，正是这些字段要避免的错误。

端点

POST/GET /v1/score/ip	VPN、代理、Tor、数据中心、地理位置、ASN
/v1/verify/email	语法、MX、一次性邮箱、角色账户、域名年龄
/v1/lookup/phone	全球号码计划验证、线路类型
/v1/score/domain	RDAP 年龄、注册商、MX/SPF/DMARC、高风险 TLD
/v1/score/device	设备指纹信誉度 + 机器人概率
/v1/score/user	将上述各项加权汇总为一个判定
/v1/verify/agent	Web Bot Auth (RFC 9421)——证明 AI Agent 的身份与其声明相符
/v1/batch	最多支持 500 个同类型值

完整参考文档：layercall.com/docs · OpenAPI 3.1：layercall.com/openapi.json

无需花费即可测试

测试模式密钥会返回确定性的合成数据，取自专门为此保留的范围——RFC 5737 地址、 example.com、555-01XX 虚构号码段。数据结构和字段与生产环境相同，因此你的断言 基于真实数据。测试不会产生费用、访问实时数据源，也不会写入共享信誉网络。

每个测试样例都有文档说明，因此你可以断言精确值，而不只是“是否返回了数字”： layercall.com/docs/test-mode

MCP — 在 AI Agent 中调用

LayerCall 通过 Streamable HTTP 使用 Model Context Protocol，因此 Claude Code、Claude Desktop、ChatGPT、Cursor、VS Code、Windsurf 和 Zed 都能在对话过程中运行 欺诈检查。无需安装任何东西——它是一个远程服务，只需添加 URL 和 API 密钥：

{
  "mcpServers": {
    "layercall": {
      "url": "https://www.layercall.com/api/mcp",
      "headers": { "Authorization": "Bearer YOUR_API_KEY" }
    }
  }
}

该服务提供七个工具：score_ip、verify_email、lookup_phone、 score_domain、score_device、verify_agent 和 score_user。

VS Code 将顶层键命名为 servers，而不是 mcpServers。这是复制配置后静默失效的 常见原因。

各客户端的配置方法：layercall.com/docs/mcp

框架中间件

可直接用于这类中间件通常放置的两个位置。中间件会附加 req.trust，由你决定如何处理：

import { layercall } from "layercall/express";

app.post("/signup", layercall(), (req, res) => {
  if (req.trust.verdict === "block") return res.status(403).json({ error: "..." });
  if (req.trust.verdict === "review") flagForManualReview(req.trust);
  createAccount(req.body);
});

我们有意不提供 autoBlock: true。安装一行代码就开始拒绝用户，是欺诈工具的错误默认行为——问题会悄无声息地发生， 影响真实客户，而你只能从支持工单中得知。

默认情况下，它只对 POST/PUT/PATCH 请求进行评分，因为全局的 app.use() 会为每个请求（包括 favicon.ico）都计费。

参见 node/src/express.ts 和 node/src/next.ts（scoreRequest、withTrust）。

指南

面向正在处理突发事件的人，而非正在挑选产品的人。每篇指南的结尾都会指出 简单方案容易出错的地方——包括那些根本不需要 LayerCall 的部分。

• 如何阻止虚假注册
• 如何在注册时拦截一次性邮箱地址
• 如何在注册时检测 VPN 和代理用户
• 如何阻止免费试用滥用
• 如何添加欺诈检查，同时不流失真实客户

许可证

MIT