摘要：# 当黑客想“刷爆”你网站时，我们靠“信誉”来识人 我前两天刚翻过一个客户的日志，那场面，真叫一个热闹。同一个IP，凌晨三点还在“正常”浏览商品，到了早上九点，突然化身“人肉点击器”，一秒十几次地疯狂请求登录接口。这摆明了就是CC攻击（Challenge…

当黑客想“刷爆”你网站时，我们靠“信誉”来识人

我前两天刚翻过一个客户的日志，那场面，真叫一个热闹。同一个IP，凌晨三点还在“正常”浏览商品，到了早上九点，突然化身“人肉点击器”，一秒十几次地疯狂请求登录接口。这摆明了就是CC攻击（Challenge Collapse，一种针对应用层的分布式拒绝服务攻击）来了嘛。

但问题来了，你一刀切把整个IP封了？万一里面混着几个真实用户呢？不封？服务器CPU立马给你飙到100%，正常业务全瘫。这种纠结，搞过网站运维的朋友应该不陌生吧？

所以，今天咱不聊那些空泛的“多层防护”、“智能清洗”。咱们就聊一个特别实在，但很多方案里做得稀里糊涂的玩意儿：基于用户信誉评分的CC防御。说白了，就是给你的每一个访客“打分”，像老中医一样，望闻问切，看出谁是良民，谁是带着“任务”来的。

这“信誉分”到底是个啥？不是信用积分！

首先得纠正一个大众偏见。很多人一听“信誉评分”，就觉得是像支付宝信用分那样，是个长期积累的玩意儿。其实在CC防御这，完全不是一回事。

这里的“信誉”，指的是当前这次访问会话的行为可信度。它更像一个“实时行为测谎仪”。

我给你打个比方。你走进一家银行，如果一进来就东张西望、反复在几个窗口间快速横跳、不停尝试推后台的门（对应高频访问特定API、遍历ID、撞库登录），那保安（防御系统）立马就会给你贴上“可疑”标签，重点关照。哪怕你穿着西装（用的是正常浏览器），也没用。

反过来，一个真实用户，他的行为是有“故事线”的：首页进来，看看Banner图，点进某个分类，慢慢滑动浏览，把商品加入购物车，然后去结算。这一系列动作，有先后逻辑，有合理的间隔时间，有成功也有失败（比如输错一次验证码）。——这种“行为画像”，机器脚本很难，或者说懒得去完全模拟。

怎么打分？看这几个“微表情”就够了

别把它想复杂了。真正有效的评分体系，往往就盯着几个关键维度，像老刑警看嫌疑人一样，一眼就能瞅出不对劲。

1. 访问节奏与频率： 这是最直白的。正常人手点鼠标，是有生理极限和随机间隔的。脚本呢？那频率精准得像节拍器。比如，针对/api/coupon这个领券接口，真人可能领一次就完了，攻击脚本会在1秒内用不同参数狂刷上万次。系统一旦发现某个会话对单一目标的请求速率呈“机械式”爆发，这分就得扣到底。

2. 行为路径的“合理性”： 这就有意思了。我见过不少低级的爬虫或者CC工具，它们生成的访问路径简直搞笑。比如，上一秒还在请求/product/123这个商品详情页，下一秒就直接POST提交/order/submit订单了。中间跳过了登录、加购物车、确认收货地址所有步骤。 这就好比一个人没进店门，却直接从仓库里把货搬走了，可能吗？防御系统会给这种“瞬间移动”或“步骤跳跃”的行为打上极高的风险分。

3. 客户端指纹的“一致性”： 这一点很多基础WAF（Web应用防火墙）会忽略。一个真实的浏览器，会带着一套完整的、自洽的“指纹信息”：User-Agent、Accept-Language、屏幕分辨率、时区、支持的插件等等。 脚本生成的请求，要么这些信息千篇一律（所有攻击流量都一样），要么就是胡乱拼凑、前后矛盾（比如声称自己是Chrome浏览器，却支持只有IE才有的特性）。这种“人格分裂”的表现，一抓一个准。

4. 对挑战的“反应”： 高明的防御不会一棍子打死。它可能会给可疑会话抛出一个轻微的“挑战”，比如一个需要前端JavaScript计算才能通过的Token，或者一个简单的图片滑块验证（对真人来说毫无感觉）。 脚本如果无法执行JS，或者对任何挑战都毫无停顿地直接“硬闯”，那它的“非人”身份就坐实了。信誉分直接归零。

光打分没用，关键是怎么“用”这个分

很多所谓防护方案，PPT很猛，真被打的时候就露馅了。问题往往不是没上防护，而是配错了，或者动作太僵化。

分层处置，别只会“封IP”： 这才是信誉分的精髓所在。它不是一个“非黑即白”的开关，而是一个调节阀。

• 高分（可信用户）： 一路绿灯，享受最快的内容分发（可能直接走高防CDN缓存）。
• 中分（轻度可疑）： 引入一些轻量级验证，比如访问速度稍有限制，或者对其请求进行更详细的行为记录。
• 低分（高度可疑）： 对不起，你的请求会被引入一个“慢速通道”或者“验证集群”。这里可能有更复杂的JS挑战、更严格的频率限制。对于攻击者来说，他的攻击成本和难度急剧上升；但对于极少数被误判的真实用户，他多花一两秒完成验证，依然能继续访问。
• 零分（确认为攻击）： 那就不客气了。请求在边缘节点就被丢弃，根本到不了你的源站服务器。同时，这个“行为画像”会被记录下来，用于丰富整个系统的黑名单库。

动态衰减与重置： 用户的信誉分不是一成不变的。如果一个会话安静了一段时间，或者成功通过了验证，它的分数应该慢慢回升。这避免了因为一次异常行为（比如用户网络卡顿导致的重复提交）就被“终身监禁”。反过来，持续作恶的IP或会话指纹，其负面信誉应该具有更长的有效期。

说点大实话：这东西也不是万能的

你得明白，攻防永远是道高一尺魔高一丈的博弈。

• 高级的“慢速攻击”和“模拟真人”脚本：现在有些攻击工具，能模拟人的鼠标移动轨迹，随机化请求间隔，甚至用真浏览器内核来跑。对付这种，单纯的行为模型就可能有点吃力，需要结合更复杂的生物行为特征分析（比如鼠标移动的加速度曲线）和AI模型。
• 对“源站隐藏”的依赖：如果你的源站IP还暴露在外，攻击者一旦绕过你的防护节点直接打源站，那所有基于应用层的信誉评分都成了摆设。所以，高防IP+源站彻底隐藏是必须打好的底子，在这个基础上，行为信誉评分才是那把锋利的手术刀，而不是一块脆弱的盾牌。
• 误伤永远存在：任何自动化系统都有误判可能。关键是你的处置策略是否留有“逃生通道”。一个永远不给用户申辩机会的防护系统，本身就是业务风险。

最后，怎么判断你的防护有没有“信誉”这套？

很简单，去看报表。如果你们的防护系统后台，只能看到“拦截了多少次”、“封了多少IP”，那可能还停留在比较基础的阶段。 如果能看到类似 “风险会话画像”、“用户行为序列分析”、“动态分数变化曲线” 这样的报表，那说明供应商确实在做更精细化的活。你可以观察，在攻击发生时，是不是只有一部分“低信誉”流量被严格处置，而大部分流量依然正常。

说到底，基于信誉评分的防御，其核心思想是 “精准管控” 而非 “粗暴拦截” 。它试图在复杂的网络流量中，找到那个微妙的平衡点：既要把搞破坏的揪出来摁住，又要让诚心来做客的人畅通无阻。

这就像小区里经验丰富的保安，他记得常住户的脸和习惯，也能一眼看出陌生访客的紧张与鬼祟。靠的不是一堆冷冰冰的规则列表，而是日积月累的“识人”经验。

你的网站，需要这样的“保安”吗？如果你的源站还在裸奔，或者防护还停留在“封IP”三板斧，你心里其实已经有答案了。

行了，不废话了，该去检查日志了。