网站被打了、被爬了、被注了：三件事该用三套思路处理

先分清敌人：三种攻击要花三份钱

很多站长一遇到网站变慢或打不开，第一反应就是「被攻击了」，然后慌慌张张去买高防。但实际情况是，DDoS、爬虫、注入这三类问题的成因和成本完全不同，用错方案只会白花钱。

DDoS是流量层面的洪水，目标是把带宽和连接数占满，表现为整站无法访问、ping值飙升。爬虫是应用层的行为，它不会打瘫你的站，但会吃掉CPU、拉高数据库负载，最典型的表现是访问日志里某个IP段请求量异常大。注入则更隐蔽，攻击者利用参数拼接漏洞读取或篡改数据，往往等到用户数据泄露才被发现。

先看监控再动手：带宽图有没有突刺、日志里有没有高频UA、数据库慢查询是不是集中在某几个接口。把这三件事分开定位，后面的钱才花得值。

DDoS防护：带宽冗余比防御峰值更实在

面对流量攻击，单机清洗能力有限，真正扛得住的是机房侧的带宽冗余和清洗中心。选购时别只盯着「多少G防护」这个数字，要问清楚清洗触发阈值、回源线路是否直连、被打时是否会影响同机房其他IP。

• 小站被小流量骚扰：优先选带基础防护的机房，配合CDN隐藏源站IP。
• 业务对延迟敏感：清洗线路最好走CN2或直连，避免绕路美国导致体验崩盘。
• 长期被盯上：直接上独立高防服务器，把源站和防护绑在一起，省去回源配置的麻烦。

如果业务主要面向北美用户、又需要独立高防资源，可以考虑 美国硅谷高防服务器 VI，100M带宽搭配硬件清洗，适合游戏、金融类对稳定性要求高的场景。

爬虫与注入：代码层的事别指望硬件解决

WAF能拦掉一部分扫描和注入尝试，但它不是万能药。爬虫如果模拟正常用户行为、控制请求频率，WAF很难精准识别。这时候更有效的做法是：对核心接口做频率限制、给关键页面加动态token、把敏感数据查询从GET改成POST并做签名校验。

注入防护的根本在于参数化查询和输入过滤，这是开发阶段就该做好的事。上线后可以用WAF做兜底，但别把它当成第一道防线。部署顺序建议是：先修代码漏洞，再上WAF规则，最后根据攻击规模决定要不要加高防。

安全预算有限的时候，优先补代码层的洞，再考虑硬件防护。顺序反了，钱花了，站还是会被拖垮。