5. 防护配置

第 4 章把站点接进来了，这一章讲怎么把防护层调到适合你的业务。配置都在「防护规则」菜单下，所有改动写库后引擎 5 秒内自动生效，不需要重启。

5.1 白名单：三种 skip 是三把独立的钥匙

白名单不是「关闭防护」，而是精确声明「某些请求可以跳过哪一层检查」。每条白名单有三个独立开关：

三个开关按需组合，互不影响。只勾「跳过验证」的请求依然会被攻击规则检查——白名单 ≠ 后门。

匹配条件

多条条件可以组合成条件组（and / or 组合），满足「这个 IP 访问这个路径」这类复合放行。

上线前必须做的三条白名单

生产环境接入后立刻检查这三类请求，没有白名单大概率出事：

1. 支付/业务回调：微信、支付宝等服务器的回调没有浏览器环境，过不了人机验证。按目标 + 值匹配（如 uri 等于 /pay/notify），勾选「跳过人机验证」。不要勾跳过规则，回调依然该被攻击规则检查。
2. 自己的监控与探针：拨测、可用性监控是高频固定 IP 轮询，会被 CC 限频。加「跳过 CC 防护」。
3. 公司办公网出口 IP 访问管理后台：后台常有富文本、批量操作，容易被规则误伤。按源 IP 加「跳过自定义规则」。

写错白名单的代价是真实的安全洞：范围宁小勿大，能用 uri 等于 /exact/path 就不要用 path 包含 /pay。

5.2 人机验证：凭证与验证强度

站点上选好防护方式后，验证行为的细节在两处调整。

凭证（安全凭证页）

验证通过后引擎给浏览器签发一个 Cookie 凭证，之后凭它免验证。凭证可以绑定因子——绑定后因子变了凭证就失效：

凭证相关是全局密钥 + 站点级覆盖：全局有唯一的凭证密钥（改了所有凭证立即失效，相当于全站强制重新验证），每个站点可一键生成自己的配置并开关绑定因子。

验证强度与系统参数（系统设置页）

「人机验证」列表页可以看每一次挑战记录：谁、什么时间、哪个形态、耗时多少、通过与否。验证异常多但全是同一个出口 IP → 大概率是脚本，去第 7 章的爬虫库确认。

5.3 CC 防护：四个维度 + 六种动作

CC 规则回答一个问题：某个维度在某个时间窗口内超过多少次，怎么办。

维度（四选一）

适用范围 scope

all 全部请求 / nocred 仅无凭证请求 / cred 仅持凭证请求。推荐对高频接口加一条 nocred 的严格限频：正常访客验证过有凭证，不受影响；脚本没凭证，直接吃限频。

处置动作

配置建议

• 先用观察模式跑 1-2 天，看正常用户的真实峰值，再把阈值定为峰值的 2-3 倍切到拦截
• 时间窗口别设太长：120 次/10 分钟 这种规则会把翻页浏览的正常用户一起闷死；30 次/1 分钟 更贴近「脚本行为」
• 免费版只支持单层条件；两层条件组（如「URI 是 /login 且 不在办公网 IP 组」）是 Pro 能力

5.4 等候室：高峰期排队而不是 503

秒杀、抢票、突发热点会让瞬时流量冲垮源站。直接 503 用户体验极差，等候室的做法是：超额访客进入虚拟队列，浏览器自动保持心跳，排到队首自动放行。

机制要点：

等候室有两个来源：CC 规则动作选「等候室排队」按规则触发；以及全站兜底——系统设置里的 cc_site_rate（默认 10000 次/窗口）+ cc_site_window，整站请求量超阈值自动开等候室，这是最后一道保命线。

后台「等候室」页可看实时排队列表与统计，支持手动插队和清理陈旧记录；系统每小时清理 24 小时前的过期记录。

5.5 这一层排障速查

下一步：6. 规则配置