分布式拒绝服务攻击可能消耗网络带宽、连接状态、应用线程、缓存或数据库资源。大流量攻击容易从链路指标发现，低速应用层攻击则可能用少量昂贵请求拖垮源站。防护设计需要围绕业务依赖链进行：上游吸收或清洗流量，边缘缓存减少回源，入口根据资源成本限流，服务在过载时降级，事件期间再按指标逐步恢复。单纯增加服务器数量，无法替代这些控制。
建立网络和应用两组观测。网络侧关注带宽、包速率、连接数、握手失败和负载均衡排队；应用侧关注请求速率、路径分布、线程池、CPU、缓存命中率、数据库连接、队列积压和关键接口延迟。把这些指标与正常峰值、促销或发布活动对照，找出第一个接近上限的资源。若外部访问已导致链路饱和，源站限流可能来不及发挥作用，需要平台或上游防护介入；若只有少数高成本路径异常，则可按应用资源进行控制。
请求数本身并不反映成本。一次报表查询、复杂搜索或缓存未命中可能比大量静态资源请求更昂贵。应按路径、方法、身份状态和后端依赖评估单位请求成本，并关注异常重试、重复提交和连接占用时间。
网络层优先依靠云平台或网络服务的流量吸收、清洗与连接防护能力，并确认业务入口不容易被绕过直接访问源站。边缘缓存适用于可安全缓存的内容，需明确缓存键、过期策略和个性化数据边界。应用限流可以按接口成本、用户身份、租户或并发资源约束；阈值应留出合法突发空间，并结合排队、超时和重试设置。
源IP不是唯一身份。共享出口、移动网络和代理可能让大量正常用户呈现同一来源；分布式攻击也可能更换来源。可结合认证主体、会话、API配额和行为特征，但不要仅根据地理位置或单一请求属性广泛拒绝。高成本接口应限制并发、设置合理超时并提供缓存或异步处理选项，避免请求长时间占用数据库连接。
拒绝比例、关键接口成功率、回源率、数据库连接和降级开关状态。降级开关需要明确触发人或自动条件、影响范围、通知对象和撤销标准。若只定义何时打开而没有恢复条件，短期措施可能在事件结束后长期损害功能。
用受控负载演练保护顺序、告警、团队升级和降级开关，避免制造真实外部攻击流量。验收至少证明：核心交易在规定的受限模式下仍可完成；非关键功能可按预期降级；数据库、线程池和队列不持续耗尽；误拒绝和错误率可观测；流量回落后恢复步骤能清理积压并逐步解除限制。演练规模应在容量和风险评估范围内。
记录事件中各层指标、规则范围、操作人与时间，复盘瓶颈是否被提前识别。随着业务接口、缓存策略和流量结构变化，重新评估限流成本模型和降级优先级。真正的抗压能力来自多个边界协同，而非某个单独的开关。🔧
