2026-11-01 · 技術
月底賬單突然翻倍，多半不是業務變好而是流量被刷。從判斷異常、入口限速、改計費口徑到把大流量前移到 CDN，四步把損失控在最小範圍。
月底收到賬單，發現流量費用比平時高出一大截，後臺一看頻寬曲線幾乎是一條直線頂在峰值上，這多半不是業務突然變好了，而是流量被人刷了。這類情況在下載站、圖片站、影片切片和開放介面上最常見，處理得越晚，賬單越難看。 第一步，先分清是增長還是被刷。正常增長通常伴隨訂單、註冊、活躍使用者同步上升，流量曲線有起伏；被刷的流量往往集中在少數幾個 URL，來源 IP 極其分散，User-Agent 高度一致，請求路徑單一，而且幾乎不產生轉化。把訪問日誌按 URL、IP 段、UA 三個維度各拉一次排行，十分鐘就能看出異常點。 第二步，先在入口處限速止損，而不是急著改程式碼。在 CDN 或防火牆層面對單 IP 做請求速率限制，對熱點 URL 單獨設 QPS 上限，對明顯異常的地區或網段臨時封禁；源站再用 Nginx 的連線數和請求速率限制兜底。對下載、匯出這類消耗頻寬的介面，加上帶時效的簽名引數，能擋掉絕大部分直接抓取。 第三步，回頭改計費方式。按流量計費在遭遇攻擊時幾乎不可控，業務流量穩定的站點更適合按峰值頻寬計費，或者用頻寬包加流量封頂的組合；同時在控制台把賬單告警閾值設到日常用量的 1.5 倍左右，早一天發現就少一天的損失。 第四步，把大流量入口前移。圖片、影片、安裝包這類靜態資源儘量走 CDN，讓流量打在邊緣節點而不是源站；源站只保留動態請求，頻寬壓力會小很多。如果業務本身容易被針對，基礎 DDoS 清洗要提前開，而不是等出事再臨時加。 最後做一次復盤：把攻擊時段的日誌完整留存，和異常 URL、來源特徵整理成記錄，方便後續與頻寬服務商核對流量明細，也方便下次快速識別同類手法。 加速IDC 提供頻寬租用、CDN 加速與高防伺服器的組合方案，遇到流量異常時也可以協助做流量側排查與清洗配置。
