真正能撑过攻击的，从来不是砸钱买设备，而是提前把防线扎结实，留好退路。很多包网系统一到促销就崩，不是带宽不够，是防御逻辑压根没跑通——别等被干趴了才想起补救。
第一步：分清攻击类型，别让误判害死你
说白了，攻击分两种：一种是伪装成用户疯狂刷登录、提交表单，每秒上千次，看着像正常人操作，这是L7攻击；另一种是用僵尸机群直接砸数据包，占满带宽，网站连不上，属于L3/L4攻击。
✅ 判断口诀：网页还能打开但卡得像老式拨号，十有八九是L7；整个域名解析不了、全站打不开，基本是L3/L4。
⚠️ 说实话，别光看流量峰值。有些攻击会玩“低频高并发”，比如每秒10个请求，持续两小时，表面看不吓人，但靠日志分析才能揪出来。我见过一个项目，就这么被悄悄拖垮了。
第二步：第一道防线，别指望免费工具万能
Cloudflare免费版：小站点用着还行，能挡点基础骚扰，但一旦遇到100Gbps以上攻击，它自动限流，直接降级，等于给你关了门。
阿里云WAF CDN：国内接入快，清洗能力不错，可规则配置复杂，新手一不小心就把合法用户给封了，回头还得去查日志道歉。
运营商抗D服务（比如天翼云盾）：适合中大型业务，能扛500Gbps以上攻击，但开通慢，得提前备案，临时抱佛脚根本来不及。
️ 实操提醒：速率限制别只按路径来，得组合着设——比如
/login POST每分钟最多10次，否则别人换个接口照样能刷。
人机验证也别乱加，首页上一堆验证码？用户当场走人。重点放在登录、支付、注册这些高风险动作前。
黑名单别全信默认库，恶意IP是动态变的，建议接入实时威胁情报（比如AlienVault OTX），但别全开，不然误伤太多，客服都得累死。行业内公认：90%的中小站点用免费CDN WAF就能应付日常骚扰，但真遇到攻击，大概率撑不过十分钟——不是技术不行，是准备不足。
第三步：流量清洗，别自己建节点，除非你是专业团队
运营商级清洗服务（比如移动“云堤”）能把攻击流量引流到清洗中心，干净的再回传。听起来挺美，但前提是你的公网出口带宽够大——不然清洗过程本身就能把你线路堵死。
⚠️ 致命坑点：如果你用的是虚拟机或云服务器，带宽只有100Mbps，一旦被攻，清洗中心发回来的流量可能比你原带宽还多，网络接口直接炸掉。
更离谱的是，有些攻击源来自多个境外节点，清洗后流量仍不断涌入，反而拖慢系统响应，等于白忙一场。平替思路：别追求极致防护，改用“主动降级 快速切换”——攻击来了，先关评论、搜索、视频播放这些非核心功能，把带宽留给关键页面。省心，还有效。
第四步：应急预案，出事时别慌，有预案才能活下来
每天凌晨自动备份数据库和静态资源，存到异地，推荐用MinIO或七牛私有云。别等到数据没了才想起来哭。
提前注册个备用二级域名，比如
backup.your-site.com，绑个临时托管页，关键时刻能救命。设置“降级模式”：当系统负载超过80%，自动关闭非必要功能，别让系统在崩溃边缘硬撑。
真实教训：某教育平台直播课被攻，他们没关后台，结果攻击者利用未授权接口批量创建课程，系统彻底瘫痪。后来才发现，所有接口都该设权限，哪怕内部调用也得校验身份——这点太重要了。
❗ 劝退指南：如果你是个人项目，预算低于500元/月，或者没有专职运维，放弃自建清洗节点，直接用免费方案 降级策略。省下的钱，比浪费的更值。
第五步：监控 日志，别等崩溃才查
用 Prometheus Grafana 监控几个核心指标：
每秒请求数（RPS）
5xx错误率
请求延迟（P95）
告警规则设成：“连续1分钟内5xx错误超100次”或“平均延迟 > 3秒”——别等用户投诉才反应。
排查技巧：攻击发生后，优先查日志里的高频来源。如果发现大量来自俄罗斯、巴西、乌克兰等地的不同IP同时访问同一个接口，基本可以断定是攻击。
别只看单一字段。有些攻击会伪造User-Agent、Referer，甚至轮换代理池，必须结合行为模式、时间分布、地理分布一起判断。✅ 正确姿势：日志保留不超过7天，磁盘爆满会导致系统宕机。建议用Logstash或Filebeat自动归档到对象存储——别等到空间满了才想起来清理。
防坑清单：这些做法正在毁掉你的系统
❌ 别在服务器上装各种“一键防护”脚本，尤其是从GitHub随便下载的所谓“防火墙”。很多是钓鱼工具，反向控制你的机器，小心成了黑客的跳板。
❌ 别把数据库暴露在公网。一旦被攻破，不只是数据泄露，还可能被用来发起新一轮攻击，变成别人的肉鸡。
❌ 别用默认密码或弱密码管理服务器。黑客扫一下就能进，然后加入僵尸网络，你还不知道。
❌ 忽视日志清理。磁盘满了，系统自动停止写入，服务直接挂掉——这不是故障，是人为失误。
✅ 正确做法：只开放80/443端口，数据库通过内网连接，密码至少12位，含大小写字母、数字、符号，定期更换。简单，但很多人就是懒得做。
真实问答：别信那些“万能解药”
Q1：我用免费CDN，能挡住大攻击吗？
A：能挡点基础骚扰，但100Gbps以上的攻击来临时，免费版会被强制限流。如果你的业务没预算，建议升级到付费套餐，或者搭配运营商抗D服务——别指望免费的能扛住真实战场。
Q2：能不能自己写脚本防御？
A：不推荐。大多数开源项目（比如DDoSlayer）是用于测试的，若误用可能触犯法律。正规防御还是得靠成熟产品，别拿自己的服务器冒险。
Q3：攻击来了要不要立刻关服务器？
A：绝对不要！关服务器等于放弃阵地。应该立即切换到备用线路，或启用降级模式，维持核心服务运行。活着才有翻盘机会。
Q4：为什么偶尔卡顿但没被攻击？
A：可能是缓存失效、数据库慢查询、代码内存泄漏等问题。建议用APM工具（如New Relic）定位性能瓶颈——别一上来就怀疑被攻了。
Q5：有没有不用花钱的方案？
A：有。用 Cloudflare免费版 Nginx限流 定期备份，基本能满足中小站点需求，成本接近0元。但前提是你要懂配置，别瞎开规则——不然自己把自己坑了。