CC 攻击防护是什么
CC 攻击通过大量看似正常的请求消耗后端资源，目标是搜索、登录、查询这类高消耗接口，特征不是流量大而是请求频率高。防护手段是把频率阈值、并发限制与验证挑战结合使用，并对白名单来源放行。难点在于区分正常用户与自动化脚本：阈值一刀切会误伤业务高峰与共用出口的用户，阈值过宽又起不到保护作用，因此需要按接口基线持续校准。
基本信息
| 防护对象 | 搜索、登录、查询、下单等消耗后端资源高的接口 |
|---|---|
| 常用手段 | 频率阈值、并发连接限制、验证码或挑战验证 |
| 白名单 | 监控拨测、合作方固定出口、内部办公网段要排除 |
| 阈值来源 | 按业务基线统计正常峰值，再留出余量 |
| 误伤风险 | 移动网络与办公网经过 NAT，大量用户共用同一出口地址 |
典型使用场景
- 接口被脚本高频调用：按来源与接口维度限制请求频率
- 登录接口被撞库：结合失败次数做渐进式封禁
- 搜索接口被刷：对高频请求触发验证码挑战而非直接封禁
- 业务高峰保护：大促期间临时下调阈值并加强监控
- 攻击期间处置：临时封禁来源网段并保留业务白名单
策略示例
策略示例
同一来源 60 秒内请求 /search 超过阈值 → 触发挑战验证
同一来源 60 秒内登录失败超过阈值 → 临时封禁并记录
静态资源与监控拨测地址 → 加入白名单
# 阈值按业务基线设定，上线后持续观察误伤与拦截效果阈值设定对照
| 考虑因素 | 说明 | 调整方向 |
|---|---|---|
| 业务正常峰值 | 接口在高峰的请求量 | 阈值高于正常峰值并留余量 |
| 出口集中度 | NAT 后多用户共用地址 | 按会话而非只按来源统计 |
| 静态资源 | 图片脚本请求量远高于接口 | 对静态资源单独放宽或不限速 |
| 监控拨测 | 固定来源定期探测 | 加入白名单避免告警 |
| 攻击期 | 请求量异常且集中 | 临时收紧并配合来源封禁 |
CC 防护阈值按业务基线设定，上线后持续校准：先以记录模式观察正常请求分布，再设定阈值并保留一段观察期，避免一上线就误伤真实用户。