在开发过程中

有一个步骤即

we.login 获得的 code  请求开发者服务器  然后请求  code2Session 得到 open_id  返回 3rd_session

再这之后 可以通过 3rd_session  对API方法 进行验证

但是没有session之前这个接口 应该如何保护   微信API  对 code2Session 连接有 1分钟 请求 100次限制

如果 有恶意抓包到 URL 频繁访问这个URL   小程序那边来了登陆用户 就会被 微信API 拒绝

求解