限速和封禁不是二选一的对立面，这两种手段根本不在一个层面上：限速是给流量装个阀门，封禁是把门直接关上。真要做 cdn 防止盗刷，我的习惯是先限速兜底，再拿日志去找该封的人。这个顺序反过来也能用，但多数时候会更累，下面聊聊两种手段各自的脾气。
cdn 防止盗刷，先看清被盗走的是什么
盗刷大致分三路。一路偷带宽，大文件、视频、安装包被反复拉，账单涨得比访问量还快；一路偷内容，别的站直接把你的图片、接口挂过去，流量走你的，用户留在人家那儿；还有一路偷接口，登录、查询、发短信这些口子被脚本按频率猛刷。三路的成本结构不一样，应对手段也不一样。偷带宽主要看流量曲线和回源占比，偷内容看 Referer 和 UA，偷接口看请求频率、参数重复度、失败率。分不清类型就上手封，很容易把正常用户一起限制住。
还有个常被忽略的：慢速攻击式的刷。每个连接只拉一点点，拖很久不放，请求数看着不高，连接数却一直挂着。这种光靠请求频率限速拦不住，得看并发连接数和连接存活时间。
限速这招，好处是不冤枉人
常见做法是单 IP 并发连接数、单 IP 每分钟请求数、单 IP 带宽上限，也有按 URL 维度限的。逻辑很朴素：不管你是真人还是脚本，超了就限速。好处是不会一概封杀，正常用户偶尔碰一下线也不至于被关在门外，规则能自动生效，半夜被刷也不用有人守着。坏处是阈值实在难定：松了跟没设一样，紧了赶上活动、促销，或者被大 V 带了波流量，先被限的往往是自己的用户。
另外，现在动手的人手里 IP 一大把，住宅代理、云主机、肉鸡轮着换，单 IP 限速更像在漏水的桶上贴胶带，能缓一缓，止不住。
封禁解气，副作用也实在
封 IP、封 UA、封 Referer、封账号，手段就这几样，威力在于立竿见影。来源单一、行为一致的时候，封完曲线立刻下来。但问题一堆：一个公司出口可能就几个地址，写字楼、校园网、运营商 NAT 后面成百上千人共用一个 IP，封下去影响一大片；手机网络切个基站地址就变，封了跟没封差不多；搜索引擎抓取、第三方监控、合作方的回调也可能中招，误封之后排查成本比省下的带宽贵。所以封禁最好有证据，日志里能看到某段地址几分钟内刷了几千次同一个路径、UA 空着、Cookie 一个没带，这种封起来不心虚；凭感觉封，早晚要出问题。
这些情况，先限速更稳
攻击刚起、来源还很散的时候，别急着封。先限速把损失控制住，同时把访问日志开全，看清楚打的是哪个路径、哪个参数、什么时段。业务本身有合法大流量，比如下载站、视频站、开放 API，也偏向限速，因为真人和脚本在流量特征上分不开。做活动那几天同理，真人流量本来就飙，封禁误伤的概率高得离谱。
这些情况，封了不心疼
单个 IP 或者一个 /24 段高频猛刷同一个接口，特征还特别统一：Referer 空、UA 写着脚本库的名字、Cookie 全无、只请求那一个 URL。登录、注册、短信、下单这些接口被撞，也别犹豫，直接封加人机校验。后台路径被扫描器轮着试，一并处理。记得连 IPv6 一起看，很多面板默认只显示 v4，刷子藏在 v6 段里，账单照样涨。
组合起来的分层顺序
我一般这么排：第一层限速兜总量，控制住账单；第二层按特征封禁，专治来源明确的；第三层在关键接口上人机校验，把成本抬给对方；最后是盯账单和回源。顺序一颠倒就累，先封一堆地址，对方换段继续，你还得一批批补规则，追在后面跑。
几个容易漏的细节
限速只加在 CDN 上，源站自己没设，回源那一跳照样被打穿；缓存命中率低，CDN 等于没挡，请求全回源了；只看请求数不看带宽，慢速连接能耗很久；日志保留时间太短，等想复盘已经查不到；限速规则和封禁规则互相打架，一个放行一个拦截，最后自己都搞不清哪条生效。还有面板里默认的阈值别直接信，按自己业务的正常峰值留点缓冲再收紧，先跑观察模式看几天，以服务商面板的实际说明为准。
回到那个问题：限速和封禁哪个管用。能确认身份的，封；确认不了的，限。大多数时候是先限后封，边限边看日志。规则上线后盯两天曲线、回源和误封反馈，再回来调阈值。这活儿没有一步到位的，都是一轮一轮磨出来的。
【版权声明】：本站内容若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
