容量规划：以峰值 QPS、连接数、带宽为核心 回源保护
围绕“容量规划：以峰值 QPS、连接数、性能基线”，本文从业务风险、架构要点、落地流程与验收指标四个维度拆解，帮助你快速形成可执行的防护方案。
核心能力与落地要点
- 攻击画像怎么做：IP、UA、路径、时间分布分析：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 多机扩展要点：节点健康、故障切换与配置同步：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 慢速攻击防护：读写超时与连接池治理策略：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 补丁管理策略：灰度发布与回滚机制的工程化方案：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 安全基线怎么建：资产盘点、补丁与配置治理闭环：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
如果你的站点有转化目标，务必把转化指标纳入策略闭环：登录成功率、下单成功率、支付回调成功率与误杀率一起看，避免只追求拦截率。
仅按 IP 限流在企业出口 NAT 场景会误伤，建议结合账号、设备指纹与会话标识做多维度限速，并为企业客户预留白名单策略。
对分布式部署，要避免“节点各自为政”。限流计数、封禁名单与挑战状态最好在边缘统一执行，或者通过共享存储实现一致视图，防止轮询绕过。
当你发现“错误率上升但带宽不高”，通常是应用层被打。先排查 CPU 飙升点（模板渲染、加解密、正则、序列化），再决定是限速还是降级。
部署与验收清单
- 持续优化：根据真实流量画像迭代规则，避免误伤与漏拦。
- 应急预案：灰度开关、黑白名单与回滚策略提前演练。
- 入口限速：Nginx/SLB 先限流，应用侧再做频控兜底。
- 链路分层：CDN/WAF/高防/源站分层部署，避免单点被打穿。
常见问题
Q：为什么仅靠单一防护组件不够？
A：真实攻击往往组合出现（洪峰、慢速、绕过、应用层混合），需要入口、协议、业务、数据多个层面的联动。
Q：为什么仅靠单一防护组件不够？
A：真实攻击往往组合出现（洪峰、慢速、绕过、应用层混合），需要入口、协议、业务、数据多个层面的联动。