电商网站的日常防护和大促防护，核心差异不在规则种类，而在资源冗余度和策略弹性：日常是精打细算的常态巡逻，大促是如临大敌的全民皆兵。
做电商安全这行，最怕的就是“一套配置走天下”的省事心态，日常够用的防护墙，到了大促流量洪峰面前，轻则误杀正常用户，重则直接被高并发打穿，下面从配置逻辑、资源调度、实时干预三个层面拆开聊。
电商网站日常防护配置怎么做
日常防护的核心是稳，服务器资源有限，带宽成本摆在那，安全策略要服务于转化率,不能因为防御动作影响真实用户的下单体验。
WAF规则与CC防护的基础阈值
日常状态下，WAF的检测模式建议开启“拦截”与“观察”并行的混合模式，具体操作路径是：登录云盾控制台，在Web应用防火墙的“防护设置”里，将SQL注入、XSS攻击设为拦截，将恶意爬虫、协议违规设为观察,保留一周日志后再决定是否收紧策略。
CC防护的阈值不建议调太高，比如单IP每秒请求数，日常设为5次/秒就行，超过的直接拉黑，这个数字不是拍脑袋拍的，普通用户即便疯狂连点，每秒也就2-3个请求，阈值太宽松，攻击流量容易穿透；太严格,公司内部员工访问或API回调会被误伤。
带宽与源站压力的常态水位
日常带宽按实际峰值的1.5倍预留，具体怎么算：拉取最近30天CDN回源带宽的峰值，乘上1.5，这就是日常防护带宽的购买底线，源站服务器的CPU水位日常保持在40%-60%，低于这个值说明资源浪费,高于这个值说明配置偏紧。
域名的DNS解析日常用CDN加速即可，源站IP只对CDN节点回源放行，直接在安全组里设置“仅允许CDN回源IP段访问80/443端口”一条规则就够了,这条规则能挡住绝大多数绕过CDN直接打源站的攻击。
大促期间WAF配置方案和日常有什么不同
大促的核心是扛住突发流量与针对性攻击的双重压力，WAF的拦截逻辑要从“精准”切换到“宁可错杀，不可放过”,同时必须预留弹性扩容通道。
弹性带宽与QPS配额临时升级
大促前48小时，要完成两项硬操作，第一，在云厂商控制台将带宽临时升配至日常的5倍，这个操作通常支持按天计费，大促结束后自动降回原规格，第二，将WAF实例的QPS配额从日常的2000QPS临时升到10000QPS,费用按小时结算。
具体操作路径：以简米云为例，在DDoS高防控制台的“实例管理”中找到目标实例，点击“升级”，将弹性QPS勾选为10000，确认后立即生效，酷番云在“大禹分布式防护”的“高级防护”里操作，步骤类似，如果用的是自建Nginx，需要在nginx.conf里调大worker_connections参数，从默认的1024改为65535，同时释放系统文件句柄限制ulimit -n 65535。
封禁策略从“单点”升级为“段级”
日常封IP只封单个来源，大促期间遇到攻击要果断封C段，比如某个IP连续触发WAF规则超过3次，日常操作是拉黑这个IP，大促期间直接拉黑该IP所在的/24网段。
为什么这么做？因为大促攻击流量的来源IP通常分布在同一个子网，单独封IP等于打地鼠，漏网之鱼依旧能突破防线，行业共识是：大促期间的误杀率可以容忍5%以内,优先保障整体可用性。
源站保护从“白名单”改为“加密回源”
日常源站靠IP白名单保护，大促时白名单可能失效，因为高防IP的清洗节点多，回源IP段会动态变化,安全组里的静态白名单反而会拦截正常回源。
大促期间的正确做法是开启回源加密，强制CDN节点与源站之间走HTTPS双向认证，在WAF控制台的“回源设置”里选择“HTTPS回源”，上传客户端证书，源站Nginx配置ssl_client_certificate参数做校验，这样即使回源IP被扫描到,没有证书的请求也进不来。
电商大促前一周的防护配置检查清单
大促不是当天早上起来调参数，而是提前一周做压力测试和策略预演，下面这份清单照着做,基本不会出大纰漏。
- 压测验证：使用wrk或Apache Bench工具模拟高并发请求，命令示例
wrk -t8 -c1000 -d60s https://你的域名/，观察源站CPU和WAF拦截日志，如果压测期间出现大量502或504，说明后端阈值或回源配置有问题,立即排查。 - 刷新静态缓存：活动页的图片和脚本文件提前一天全部刷新CDN缓存，避免大促当天用户请求全部回源,导致源站带宽被打满。
- 检查证书有效期：SSL证书如果在大促后三天内到期，提前换掉，大促期间证书续期操作容易引发部分旧客户端握手失败,这是低级的致命伤。
- 备份WAF自定义规则：在修改任何防护规则前，导出当前规则配置为JSON文件，保存在本地，如果大促期间的激进策略造成大面积误杀,一键回滚到日常配置。
大促当天的实时流量监控与动态干预
大促当天不能只盯着销售大盘，防护后台的安全监控必须分出一只眼睛盯，重点看三个指标：WAF拦截QPS曲线、回源带宽占比、攻击来源地域分布。
拦截QPS曲线如果从平缓突然变成陡峭直线，说明正在被集中攻击，此时不要改WAF规则，优先在DDoS高防控制台开启“全力清洗”模式，让清洗节点自动过滤异常流量，如果攻击强度已经超出高防实例的防护能力,需要立即联系云厂商的售后专家进行黑洞路由临时牵引。
回源带宽占比如果超过30%，意味着大量请求穿透了CDN直接打到了源站，此时检查CDN的缓存命中率，如果命中率低于90%，说明活动页的静态资源没有预热成功，手动在CDN控制台提交URL刷新预热,把核心图片和JS文件主动推送到边缘节点。
攻击来源地域分布如果集中在海外节点，直接在WAF的“区域封禁”里勾选对应国家或地区，一键阻断，国内大促期间海外流量没有业务价值,封禁不需要犹豫。
大促后的降配操作与复盘要做什么
大促结束后的24小时内，防护配置必须降回日常水位，不是等流量自然回落,而是主动操作。
登录控制台，把弹性带宽从5倍手动调整为日常的1.5倍，把WAF的QPS配额从10000降回2000，这个操作必须在业务低峰期执行，比如凌晨3点,避免因为降配导致的瞬间资源竞争影响还在扫尾的售后订单。
复盘时拉出大促期间WAF的误杀日志，筛选出被拦截但后续没有出现重试行为的IP，这些大概率是真实用户被误伤，整理这部分日志，提炼规则特征，把过于激进的自定义拦截规则从“拦截”改为“观察”,为下一次大促积累精细化的策略参数。
电商网站日常防护和大促防护哪个成本更高
成本维度上，大促防护的短时支出远高于日常，日常防护的月均成本主要由固定带宽费、WAF按量付费的基础套餐构成；大促期间临时升配弹性带宽、QPS配额，加上按小时计费的清洗资源，一次性支出通常是日常月度费用的2-4倍。
但花钱要花在刀刃上，业内专家指出，与其买大而全的年度高防包，不如采用“日常低配+大促临时高防”的混合模式，用按量付费的方式应对峰值，能帮中小型电商网站节省30%以上的年度安全成本，具体到价格，不同云厂商的弹性计费标准有差异,建议购买前对比同规格的高防IP按天报价。
大促期间的WAF规则会误杀正常用户吗
会，而且可以确定地说，每次大促都会发生，核心原因是激进的CC防护阈值对短时间内高频但合法的请求不友好，比如用户疯狂点击“立即抢购”按钮触发限频，降低误杀的方法是设置URI白名单，将购物车接口、下单接口单独放行，不参与限频规则,只针对首页和搜索页保留严格防护。
大促后如何把防护配置降回日常状态不失误
失误主要发生在降配顺序上，先调WAF规则，带宽还没降，结果大促尾巴的流量回源时发现带宽依然限制着，造成部分用户访问卡顿，正确顺序是先降带宽、再降QPS配额、最后改WAF拦截模式，操作完成后用curl命令手动请求几个核心页面，验证返回码是200,再检查一遍云监控的告警台没有新增异常。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/790620.html
