规则限制做了，还能打就奇怪，通过ip打的？

试试对登录接口做些规则限制。比如登录时仅允许国内登录。