使用REST服务的应用创建帐户的安全/最佳实践？

Question

如果这是一个有点愚蠢的问题，我很抱歉，但我对REST编程领域很陌生。我有一个可以访问网络，移动设备和机器的应用程序，我将为移动设备和机器部分利用类似REST的网络服务。我打算为REST请求使用S3身份验证模型，但这需要用户帐户已被设置。

如果用户通过iPhone或其他移动设备启动他的服务使用，安全创建用户帐户的最佳方式是什么？就目前而言，任何人都可以创建一个帐户，该帐户将被创建为非活动状态，然后通过电子邮件链接激活CAPTCHA网页。但是恐怕这可能会导致DOS攻击，因为每个请求都会生成一封电子邮件。

有关改进此模型和/或确保请求的任何建议确实来自iPhone？

Answer 1

一个好的验证码可以防止这种DOS攻击。

Answer 2

要求在之前发送电子邮件链接，即在请求一个帐户时要求CAPTCHA 。