TG咨询很多人把所有访问量激增都称为攻击，但正常促销、搜索引擎抓取和CC攻击的处理方式并不相同。要做好CC攻击防御，先要弄清请求到底消耗了什么资源、攻击发生在哪一层，以及哪些用户应当继续访问。下面用六个基础概念建立判断框架。
一、先区分CC攻击与带宽型DDoS
CC攻击通常集中消耗应用层资源。攻击者反复请求搜索、登录、商品详情或API接口，使Web服务器、数据库连接池、缓存或业务线程持续工作。它不一定产生很大的网络带宽，却可能让页面响应变慢甚至超时。
带宽型DDoS更偏向消耗链路容量，常见处理位置是运营商、云清洗或边缘网络。CC攻击则需要结合HTTP访问日志、接口耗时、请求参数和用户行为分析。两者可以同时出现，因此不能只看带宽曲线判断风险。
二、理解“请求成本”而不是只数请求量
相同数量的请求，对系统造成的压力可能完全不同。读取静态图片通常只占用边缘缓存资源，而一次复杂搜索可能触发多张数据表查询；提交登录请求还可能涉及密码校验、会话创建和风控判断。
建立CC攻击防御规则前，可以先给接口分级：
- 低成本接口：静态文件、健康检查等，重点关注异常频率。
- 中成本接口：文章详情、商品列表等，适合优先使用缓存和常规限流。
- 高成本接口：搜索、登录、导出和复杂筛选，适合更严格的频率控制与挑战验证。
不要只设置一个全站阈值。全站统一限流容易误伤正常用户，也无法准确保护真正昂贵的接口。
三、限流必须选择合适的维度
限流是最容易落地的措施，但“按IP限制”并不等于完整方案。家庭网络、校园网和企业出口可能让许多真实用户共享一个公网IP；移动网络的IP也可能发生变化。相反，攻击者可能使用大量代理地址分散请求。
实际设计时可组合以下维度：IP、账号、设备标识、接口路径、会话状态和整体并发数。匿名访问适合按IP和接口限流，登录后则可以增加账号维度。对于高成本接口，可同时限制单位时间请求数和同时处理数。
操作时先观察正常业务在工作日、周末和活动时段的访问曲线，再设置初始阈值。阈值可从正常峰值的约2至5倍开始试运行，具体范围要根据响应时间、服务器规格和接口成本调整，并保留人工放宽规则的入口。
四、识别真实用户与自动化请求
IP地址只能说明网络出口，不能直接证明访问者是恶意程序。更可靠的判断通常来自多项信号组合，例如请求间隔是否完全规律、是否支持JavaScript、Cookie是否持续有效、请求头是否异常、页面访问顺序是否符合正常流程。
可以采用分级处置，而不是首次异常就永久封禁：
- 先记录请求特征和接口耗时，不立即阻断。
- 对短时间内重复访问的客户端降低频率或返回等待提示。
- 继续异常时要求挑战验证，验证失败再临时拦截。
- 对已确认的恶意特征设置较短期限的封禁，并定期复核。
这种方式比单纯黑名单更适合复杂网络环境。挑战验证也有代价，老年用户、辅助技术用户或网络质量较差的用户可能更容易失败，因此应限制使用范围。
五、认识分层拦截的差异
CC攻击防御不应只依赖源站应用。边缘缓存、反向代理、负载均衡器和应用本身承担的任务不同。
| 位置 | 适合处理的问题 | 主要限制 |
|---|---|---|
| 边缘缓存 | 减少静态资源和可缓存页面回源 | 无法独立判断复杂业务逻辑 |
| 反向代理 | 连接数、请求速率和基础访问控制 | 规则过严会影响共享出口用户 |
| 应用层 | 账号、权限、参数和业务流程判断 | 最接近数据库，过载时可能已太晚 |
较稳妥的顺序是先在边缘或代理层过滤明显异常，再让应用层处理必须结合账号和业务状态的判断。以Nginx、Apache或Envoy为例，应分别关注连接数、请求速率、超时、上游队列和错误率，而不是只配置一个拒绝规则。
六、用监控和演练验证防护是否有效
没有监控就无法知道规则是在拦截攻击，还是在拦截正常用户。至少应观察每分钟请求数、各接口P95或P99响应时间、5xx比例、活跃连接数、上游队列、数据库连接占用和挑战验证通过率。
发生异常时可以按以下顺序处理：
- 确认流量集中在哪些路径、来源和请求方法。
- 判断是带宽饱和、连接耗尽、应用线程紧张还是数据库变慢。
- 先收紧高成本接口，避免直接全站封禁。
- 保留关键日志和规则变更记录，观察5至15分钟后再调整。
- 事件结束后恢复临时策略，复盘误拦截、漏拦截和资源瓶颈。
演练应在测试环境或明确的低风险窗口进行，重点验证限流触发、代理故障切换、日志留存和人工解除规则是否可用。
常见问题
1. 只封IP能解决CC攻击吗？
通常不能。代理池、共享出口和动态地址都会削弱IP封禁效果，应结合接口、账号、设备和行为信号。
2. 访问量高就是CC攻击吗？
不一定。发布活动、媒体转载或搜索引擎抓取也会造成增长，应同时检查请求路径、转化行为、缓存命中率和资源消耗。
3. 是否应该一开始就启用验证码？
不建议全站启用。优先针对高风险接口和异常客户端使用挑战验证，并持续观察真实用户失败率。
4. 小型网站需要复杂的防护系统吗？
不一定。先做好缓存、代理层限流、关键接口保护、日志监控和应急联系人，再根据实际攻击规模增加专业服务。
归根结底，CC攻击防御的核心不是设置一个神奇阈值，而是识别请求成本、分层处理风险，并在保护资源的同时保留正常用户的访问路径。
