摘要：# CDN高防对HTTP/2的支持：不只是协议升级，而是防御能力的质变 我上周帮一个做电商的朋友排查问题，他那网站用了CDN高防，平时都好好的，结果做活动时突然就卡了。一查日志，发现攻击流量全挤在HTTP/1.1的连接里，而HTTP/2的通道却相对宽松。…

CDN高防对HTTP/2的支持：不只是协议升级，而是防御能力的质变

我上周帮一个做电商的朋友排查问题，他那网站用了CDN高防，平时都好好的，结果做活动时突然就卡了。一查日志，发现攻击流量全挤在HTTP/1.1的连接里，而HTTP/2的通道却相对宽松。这让我意识到一个问题：很多人在选高防服务时，光看“防御峰值”这个数字，却忽略了协议层面的支持情况——这就像买了辆跑车，却只会在市区开40码。

HTTP/2不是“可有可无”的升级，而是防御体系的关键一环

先说句大实话：现在还有不少高防厂商，他们的HTTP/2支持就是个“半吊子”状态。表面上说支持，实际上就是开了个开关，底层调度和防御策略根本没针对HTTP/2优化。这种方案，PPT上看着很猛，真被打的时候就露馅了。

HTTP/2和HTTP/1.1在防御视角下，完全是两个物种：

• HTTP/1.1 就像老式电话交换机，一个连接只能处理一个请求。攻击者发起大量连接，交换机就堵死了。
• HTTP/2 更像是现代的高速公路，一个连接上可以并行跑多个请求（多路复用）。攻击者的连接数攻击，效果直接打折。

我自己看过不少被打瘫的站点，问题往往不是没上防护，而是防护方案配错了——用着HTTP/2的现代架构，却配了个只懂HTTP/1.1时代攻击的老式高防。

真正的优势在哪？不只是“更快”

很多技术文章会把HTTP/2的优势归结为“加载更快”，这没错，但太浅了。站在防御角度，它的价值体现在三个层面：

1. 连接成本的天平倾斜了（这才是关键） 攻击者的资源也是要钱的。在HTTP/1.1时代，他开10万个连接就能给你制造压力。到了HTTP/2，由于单个连接效率极高，正常用户几个连接就够了。攻击者想达到同样的压力，可能得开50万甚至100万个连接——他的攻击成本直接翻了几倍。防护的本质之一，就是提高攻击者的成本。 这块很多厂商不会明说，但你得懂。

2. 攻击特征更明显，更好“抓” HTTP/1.1的洪水攻击，一堆短连接，看起来和正常用户快速刷新有点像，清洗系统有时会犹豫。HTTP/2就不同了，它的连接是长久的、高效的。如果一个HTTP/2连接里，突然出现大量乱序的、无意义的请求帧（这是攻击的常见手法），清洗设备几乎能瞬间判定——这太反常了，正常应用不会这么用HTTP/2。 识别准确率上去了，误杀自然就少了。

3. 源站压力真的能降下来 这是最实在的。很多站长以为上了高防IP，源站就安全了。但如果高防节点用HTTP/1.1回源，攻击流量经过清洗后，依然可能以大量连接的形式压到源站服务器上。源站的Nginx或Apache，并发连接数是有上限的，可能先于CPU或带宽被打满。支持HTTP/2的高防，可以用少数几个高效的HTTP/2连接回源，把聚合后的干净流量送回去，源站服务器的连接数表一下子就清爽了。 你的源站要是还因为连接数被打满而崩溃，真的该检查检查回源协议了。

怎么判断是不是“真支持”？看这几个细节

别光看产品介绍页的那个小对勾。你得问，甚至得测：

• 问“多路复用”的粒度： 他们的调度器，是针对单个HTTP/2连接内的每个流（Stream）做独立分析和调度，还是把整个连接当成一个黑盒？前者才是精细防护。
• 问“头部压缩”的安全处理： HTTP/2的HPACK头部压缩是亮点，但也是潜在风险点。好的高防会严格校验压缩上下文，防止攻击者构造畸形的压缩数据包来耗资源。问问他们有没有针对性的防护策略。
• 自己简单测一下： 用你的网站，在Chrome开发者工具里看看，通过高防后，资源是不是真的通过HTTP/2加载的，连接数是不是显著减少了。再找个安全测试工具（注意尺度，别真打），模拟一下HTTP/2的慢速攻击，看看监控告警灵不灵。

一个我遇到的实际案例：延迟降低了，抗揍能力反而升了

去年有个做在线教育的客户，他们的互动课件对延迟极其敏感。用了某家支持HTTP/2深度优化的高防CDN后，不仅页面加载快了，在遭遇一次针对性的CC攻击时，效果对比非常明显：

• 之前（用普通高防）： 攻击一来，延迟飙升，用户开始掉线，因为连接数被占满。
• 之后（用HTTP/2优化高防）： 监控显示攻击流量更大，但实际业务延迟只轻微波动。因为攻击者大部分无效请求，在高防边缘的HTTP/2协议层就被识别并丢弃了，根本没机会去争抢宝贵的应用处理资源。

用他的原话说：“感觉像是给服务器穿了件透气还防弹的背心，活动自如，安全感还足。”

写在最后：别让你的防护体系出现“代差”

网络安全这事儿，有点像军备竞赛。当你的业务已经全面升级到HTTP/2甚至HTTP/3时，如果你的防护体系还停留在主要针对HTTP/1.1攻击的时代，那就存在致命的“代差”。

攻击者可不会跟你讲武德，他们专挑这种不对称的短板打。

所以，下次再评估高防方案时，别只盯着Tbps级别的防御带宽数字。多问一句：“你们对HTTP/2协议的攻击防护，具体是怎么做的？” 对方的回答，往往能帮你筛掉那些只会堆硬件的“纸老虎”，找到真正懂现代协议、能打实战的伙伴。

毕竟，真遇到事儿的时候，能帮你扛住的，不是产品彩页上华丽的参数，而是这些扎实的技术细节。你说对吧？