请教一个接口防刷的问题

一个无需登陆的接口，如果有人绕过浏览器直接发请求打到后端，比如通过脚本模拟正常请求，如何限制呢？
不太想做 ip 限制，太容易误封了

现在想到的就是客户端和后端协商一个签名，请求进来直接在校验层拦截，还有什么好的方法么