促销开始后，访问量上升并不等于遭到攻击；反过来，攻击也可能藏在真实用户的高峰中。要做好攻击流量清洗阈值与业务误伤平衡，关键不是把阈值一味调高或调低，而是区分流量来源、请求特征和业务影响，再逐步加强拦截。以下五步可用于电商促销、票务开售、内容发布等场景，具体参数须结合自身基线验证。
先定边界：清洗目标不是“流量越少越好”
清洗是对异常流量进行识别、限速或拦截；误伤则是正常用户被挑战、限速或拒绝。两者需要一起观察：一边看请求速率、来源分布和异常特征，另一边看登录成功率、下单完成率、页面错误率等业务信号。若拦截量增加而关键转化同时骤降，应先检查规则，不宜直接继续收紧。
五步校准清洗阈值
- 建立同类时段基线。选取没有故障且活动类型接近的时段，按分钟记录请求量、独立访问来源、关键页面负载和业务成功率。促销峰值应与以往促销比较，而不是只对照普通工作日。若缺少历史数据，先以观察模式收集一段时间，再逐步启用拦截。
- 拆分业务路径与流量特征。登录、商品浏览、库存查询和结算承受的正常请求模式不同，应分别观察。再按来源网络、访问频率、请求路径、会话行为等维度找异常；不要只凭单一地址或单一速率封禁，因为共享网络、公司出口和移动网络可能让许多真实用户呈现相似来源。
- 先设软阈值，再设硬动作。为各类路径设置不同观察线：超过常态时先记录或触发轻量验证，持续异常且伴随业务异常时再限速或阻断。速率限制适合抑制短时间内的重复请求；WAF规则适合匹配明确的恶意请求特征。具体阈值可从基线的约1.5至2倍作为排查提示起点，但只适用于波动相对稳定的路径，不能视为通用封禁标准。
- 分阶段放量验证。先对小范围流量或低风险路径启用新规则，观察数分钟至数十分钟；促销波动快慢不同，观察窗口也应调整。同步比较拦截量、挑战通过率、页面错误和转化变化。若误伤增加，优先缩小匹配范围或改为行为验证，而不是关闭所有防护。
- 设定回退条件并留痕。上线前明确回退负责人、规则版本和触发条件，例如关键业务成功率明显偏离活动基线、正常用户验证失败集中上升。记录调整时间、阈值、受影响路径及判断依据，峰值结束后复盘，区分有效拦截和无效规则。
阈值之外，还要看变化是否一致
单看总流量很容易误判：促销广告带来的访问可能真实增加，攻击流量则可能集中冲击少数路径。更可靠的信号是多项指标同时变化，例如某路径请求突增、访问节奏高度重复，同时结算成功率下降。行为验证可以在不确定时增加一道确认；白名单只适合范围明确、确有必要的可信来源，并应定期检查，避免成为长期绕过规则的入口。
如果业务端与清洗平台的数据口径不同，先核对统计窗口、缓存影响和采样方式，再判断是否误伤。最终目标是让攻击流量清洗阈值与业务误伤平衡建立在可观察、可回退的规则上，而不是依赖一次性猜测。
常见问题
促销流量一超过基线就要拦截吗？
不应如此。先确认活动带来的真实增长，再结合路径、频率和业务结果判断；超过基线可触发观察，不必自动等同于攻击。
阈值应该多久调整一次？
促销期间可按分钟观察关键指标，只有证据支持时才调整；活动结束后再复盘。不同业务的流量波动速度不同，没有适用于所有场景的固定间隔。
怎样快速判断规则可能误伤？
查看拦截或验证失败是否集中在正常业务路径，并对照成功率、错误率及客服反馈。多项信号同时变差时，先缩小规则范围或回退，再进一步排查。
攻击特征不明确时怎么办？
使用观察模式收集路径和频率特征，优先对高风险行为限速或增加验证；避免仅凭来源地址批量封禁真实用户可能共享的网络。
