大促防护不只是打开 WAF 或提高带宽。缓存规则、源站访问权限和限流阈值彼此影响：边缘拦下攻击后，源站仍可能因回源请求集中而过载；限制过严，又可能挡住真实用户的登录、查价和下单。做好电商大促期间网络攻击防护配置，应先梳理流量路径，再逐项验证规则。
一、先画清边缘到源站的请求路径
确认用户请求是否经过 CDN、WAF、负载均衡后再到应用服务，并记录哪些域名或接口会绕过这些节点。检查 DNS 解析、证书和健康检查，避免防护切换后请求走到旧源站或不受保护的入口。
- 盘点公开域名、管理入口、API 和文件下载域名，标明是否经过边缘代理。
- 从外部检查源站是否能被直接访问；若业务架构允许，只放行 CDN 或 WAF 的回源地址，并保留必要的运维通道。
- 核对防火墙规则与服务商公布的回源地址变更机制，定期更新放行清单，避免地址变化造成正常流量中断。
注意，源站日志中的客户端地址可能是代理节点地址。应按实际代理链配置可信转发头，只信任已确认的上游代理；否则，基于客户端 IP 的审计和限流可能失真。
二、回源规则要区分缓存内容和动态请求
商品图片、样式文件等可缓存内容，与购物车、库存查询、支付回调等动态请求不能采用同一套缓存策略。缓存范围过宽，可能返回过期库存或用户数据；缓存过窄，则大量重复请求会落到源站。
逐类检查缓存与回源
- 按路径和请求方法梳理缓存规则，对登录态、个人信息、购物车及订单相关响应默认谨慎处理。
- 确认查询参数是否参与缓存键。若不同参数代表不同商品或筛选条件，遗漏参数可能让用户收到不匹配的结果。
- 检查回源超时、重试次数和错误缓存时间。重试过多会放大源站压力；对 5xx 错误长时间缓存，则可能延长故障影响。
- 用测试账号验证匿名与登录访问、不同商品编号、库存变化和支付回调，检查响应状态及内容是否符合预期。
电商大促期间网络攻击防护配置还应确认回源连接是否复用、健康检查是否频繁触发，以及边缘节点失效时的备用路径。具体参数需结合服务商限制和源站承载能力，不宜直接照搬其他站点的数值。
三、限流按接口和身份分层设置
整站使用一个固定阈值容易误伤：商品详情请求通常可由缓存承接，登录、验证码和下单接口则更需要控制突发请求。先观察平日与活动预热期的请求分布，再针对路径、方法、用户状态和来源制定规则。
- 浏览与搜索：优先结合缓存、行为特征和短时突增判断，不要只凭单个 IP 封禁；共享网络可能让多个正常用户共用出口地址。
- 登录与验证码：按账号、设备或会话等维度组合限制，并设置递增等待或验证码挑战，避免攻击者换 IP 后完全绕过。
- 下单与库存：保护关键操作的并发和重复提交，限流提示应明确且可重试；支付回调需校验来源和签名，不能简单套用面向浏览器的规则。
规则触发后可返回 HTTP 429 表示请求过多；若系统无法服务，HTTP 503 更适合表达暂时不可用。响应中可提供合理的重试提示，但不要泄露内部错误或风控细节。
四、先观察，再逐步启用拦截
新规则不要未经验证就全量阻断。优先使用日志或观察模式，查看命中路径、来源分布、误报样本和源站错误，再按风险逐步提高处置力度。对于高风险规则，可先覆盖少量流量或非核心路径，确认无误后扩大范围。
- 保存当前配置，并记录规则负责人、影响范围和回退方式。
- 在预热期观察请求量、缓存命中情况、回源并发、延迟、429 与 5xx 状态码。
- 模拟正常登录、搜索、下单及支付回调，确认限流不会阻断完整业务流程。
- 设定明确的告警联系人和回滚条件；出现误拦截或错误率持续升高时，先调整对应规则，不要盲目关闭全部防护。
五、告警与应急权限也要提前核对
告警应能区分边缘流量异常、源站资源紧张和业务自身错误。至少关注请求速率、回源比例、响应延迟、连接失败、WAF 拦截量以及关键接口成功率。各项指标的正常范围取决于日常基线、缓存策略和促销活动安排，应以自身历史数据校准。
提前确认谁能修改 DNS、WAF、CDN 和防火墙规则，避免临场找不到有权限的操作人；同时准备服务商支持渠道和内部升级联系人。电商大促期间网络攻击防护配置的验收标准，不应只是“攻击被拦截”，还要确认真实用户能浏览、登录、下单，源站没有因回源或重试而过载。
常见问题
大促前多久检查规则合适？
应在流量明显上升前留出测试和调整时间，并在活动期间持续观察。具体时间取决于变更流程和业务规模，不宜把首次验证安排在流量峰值时。
开启 CDN 后，源站还需要防护吗？
需要。应评估源站直连暴露、回源压力和应用层攻击风险；边缘防护不能替代源站访问控制与应用自身校验。
限流阈值能否直接按单个 IP 设置？
不建议只依赖 IP。代理、运营商网络和办公网络可能造成多人共用出口；应结合接口类型、账号或会话等信号，并观察误拦截情况。
误拦截时第一步做什么？
先查命中规则、请求路径和时间范围，确认影响对象后缩小或调整对应规则，并观察错误率是否恢复；保留变更记录，避免无差别关闭全部防护。