上周有个做棋牌 App 的高防老哥找我吐槽，说服务器又被打了，高防这次是高防 CC 攻击，量不大，高防峰值也就 3 万多请求每秒，高防但全是高防模拟真实用户的动态请求，每个 IP 都带完整 TCP 握手和 HTTP 头，高防传统防火墙根本分不出来。高防他问我：上了高防 CDN 到底管不管用？高防

这个问题其实挺典型的。很多人以为买了高防就万事大吉，高防结果 CC 一来照样挂。高防原因不复杂——高防 CDN 的高防清洗能力主要针对流量型攻击，比如 SYN Flood、高防UDP 反射，高防这些靠流量特征和速率阈值就能拦。高防但 CC 攻击打的是应用层，请求长得跟正常用户一模一样，你封 IP？人家用代理池，几十万个 IP 轮着来。你限速？单个 IP 每秒就发两三个请求，比真人还慢。

那高防 CDN 在 CC 场景下到底能做什么？我拿几个实际案例说。

有个做跨境电商的客户，用的是某云的高防 CDN，配置了 CC 防护策略。攻击者用了一个开源的 CC 工具，专门打商品搜索接口，因为那个接口要查数据库，消耗大。CDN 侧怎么处理的？它不是靠单一规则，而是组合拳：先看请求频率，同一 IP 对同一 URL 的访问间隔如果过于均匀——比如精确到 500 毫秒一次——直接标记为机器人；再看 JS 挑战，正常浏览器能执行验证脚本，脚本工具不一定能；最后看行为指纹，鼠标轨迹、页面停留时间这些。三层过滤下来，清洗掉了 92% 的恶意请求，剩下 8% 漏过去的，源站加个 Redis 缓存也扛住了。

但这里有个坑。很多高防 CDN 的 CC 防护是默认关闭的，或者规则很宽松。你得手动开，还得根据业务调阈值。比如登录接口和静态图片的阈值完全不一样。登录接口可能每秒 5 次就算异常，图片每秒 50 次都正常。我见过一个运维图省事，全站统一设成每秒 20 次，结果促销活动时正常用户被误封，投诉电话打爆。

另一个观察：高防 CDN 的节点分布很关键。如果攻击者集中打你某个地区的节点，而那个节点清洗能力弱，流量就会回源到源站。所以选高防 CDN 时，别光看总防护带宽，要看单节点能力和智能调度。有些厂商号称 1T 防护，结果你业务在东南亚，它东南亚就两个小节点，一打就穿。

还有个细节——CC 攻击现在也进化了。以前是蛮力发请求，现在会模拟完整会话。先 GET 首页拿 Cookie，再 POST 登录，再带 Token 访问 API。这种慢速攻击，高防 CDN 的会话检测如果不够细，很容易放过去。我测试过几家国内主流的高防 CDN，对慢速 CC 的拦截率差别很大，有的能到 95%，有的只有 60% 出头。怎么测？自己写个脚本，用 100 个代理 IP，每个 IP 每秒发 1 个请求，持续 10 分钟，看源站日志里有多少漏进来的。

说回开头那个棋牌 App 的老哥。我给他的建议是：高防 CDN 要上，但别指望它单打独斗。源站前面加一层 Nginx 限流，对关键接口做 Token 校验，再配合 IP 信誉库。高防 CDN 负责扛大流量和粗筛，源站负责精筛。两层下来，3 万请求每秒的 CC 攻击，源站实际承受的不到 200 请求每秒，随便扛。

最后提一句，高防 CDN 的 CC 防护日志一定要看。很多厂商只给你看拦截总数，不给你看拦截详情。你得能查到哪些 IP、哪些 URL、什么时间被拦了。不然攻击者换个路径你都不知道。我习惯每天扫一遍日志，看有没有新的攻击模式冒出来。这活儿机器干不了，得人盯着。