业务防护会话安全平衡

业务侧防护里会话保持与攻击防护的平衡，不是把某一项调到最严，而是让会话连续性可降级、攻击拦截可观测：优先用Cookie或应用令牌保持会话，源IP哈希只做兜底，CC防护先在观察模式跑规则，再按业务路径灰度放开，做业务防护的人常遇到一个尴尬场面：白天刚把CC防护调严，晚上客服就说用户登录后购物车空了，问题往往不在防……