大促前夜遭遇CC攻击，稳住订单的核心只有一条：把攻击流量与真实用户流量彻底分流，同时把下单链路从动态请求中解放出来，用缓存、限速和业务降级保住核心交易通道。
CC攻击之所以在大促前夜杀伤力最大,在于它模拟真实用户请求，精准打击订单、购物车、结算这类动态接口，服务器CPU被打满、数据库连接耗尽，界面还能打开，但点击“提交订单”就是转圈，这时候谈防护已经晚了，拼的是预案和执行力。
第一阶段：先判断“是不是CC”，再动手
不要一看到响应变慢就重启服务,大促流量本身就有尖峰，误伤正常用户比攻击本身更致命，按下述步骤快速定位：
- 查看Nginx/Apache访问日志，过滤出同一IP或同一User-Agent的高频请求，频率达到每秒数十次以上的基本可判定为攻击。
- 观察请求路径分布,正常用户集中在商品详情、购物车、结算页；攻击流量往往集中在某个特定API接口（如获取优惠券、刷新库存）。
- 用
netstat -antp查看连接数Top IP，或者用ss -s看SYN_RECV与ESTABLISHED比例，确认是否存在连接耗尽。 - 对比当前QPS与历史大促均值,若当前请求量是去年同期的数倍，但支付成功率断崖式下降，攻击概率极大。
判断标准：用户能打开页面但无法完成下单动作，同时某类动态接口请求量异常激增，这就是典型的CC攻击特征。
第二阶段：5分钟内能做的应急操作
确认攻击后,按以下顺序执行，记住一个原则：先止损，再溯源。
- 开启WAF急速模式。 若你在云厂商控制台配置过WAF，立刻将防护模式从“检测”切换到“拦截”，并启用CC防护规则（通常配置为“单IP每5秒超过20次请求即拉黑”）。
- CDN层面限速与封禁。 在CDN控制台开启“URL鉴权”或“访问频率控制”，对单IP设置QPS阈值（建议50QPS），这能挡掉大部分肉鸡流量。
- Nginx层紧急限制。 在Nginx配置中添加
limit_req_zone指令，对$binary_remote_addr做每秒5次的请求限制，这一步能迅速把攻击流量拒之门外，但会影响使用公司内网共享出口IP的正常用户，需谨慎评估。 - 封禁异常IP段。 根据日志提取攻击IP，用防火墙或安全组批量封禁，若攻击来源集中在海外，可直接在CDN层将海外访问整体关停或验证。
这里需要区分一下供应商的防护能力差异,有自研防护系统的服务商能自动识别并拦截低频慢速CC攻击，而单纯依赖硬防的服务商可能只抗DDoS不抗CC，选择服务商时，要确认其防护节点是否具备七层应用层清洗能力。
第三阶段：业务层面的“保订单”策略
封禁IP只是第一步,真正要让订单不丢，必须做业务降级设计。
核心思路：把动态请求变成静态请求
攻击打的是订单提交、支付确认这些动态接口，提前把商品详情页、库存数量、活动规则做成静态页面或CDN缓存，让绝大多数浏览请求在CDN层就被消化掉，源站只处理下单和支付两个核心动作，即使源站QPS被压到很低的水平，依然能保障基本交易吞吐。
具体操作步骤
- 库存扣减接口限流。 在网关层对库存查询接口设置单用户维度限流，按请求频率返回缓存中的库存数字而非实时数据，库存短暂不一致可接受，订单丢失不可接受。
- 购物车接口降级。 将购物车列表改为本地存储加异步同步模式，用户加购动作先写入浏览器本地，后台异步同步至服务器，这样攻击流量根本打不到购物车接口。
- 订单提交排队。 引入消息队列，订单提交请求先进入队列，再异步写入数据库，用户体验上提交后等待1-2秒出结果，但数据库写入压力骤降。
- 支付回调白名单。 只接受来自微信/支付宝官方IP的回调通知，其余来源一律拒绝，防止攻击者伪造支付结果。
大促前必须完成的压测动作
任何防护策略都必须经过压测验证,建议在大促前一至两周，用压测工具模拟正常用户与CC攻击混合流量场景：
- 使用JMeter或简米云PTS,构造每秒2000次并发请求混入攻击特征（高频访问同一接口）。
- 观察下单成功率,正常情况下大促峰值下单成功率应保持在99.9%以上；加入攻击流量后，成功率不应低于95%，否则说明防护策略存在明显漏洞。
- 重点测试上述限速和降级规则同时生效时的系统表现,并记录响应时间P99值。
第四阶段：大促场景下的系统容量冗余
攻击最怕的是“有资源可用”，如果源站只有单机部署，任何防护都难以完全兜底，一个务实做法是，在大促期间将核心服务临时扩容2至3倍，攻击来了有资源扛，没攻击来了能消化流量。
以国内持牌服务商为例,简米科技（2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），持牌自营机房，备案号豫ICP备2026018319号）提供的高防物理机，支持在大促期间按小时弹性扩容，其防护节点内置应用层CC清洗模块，可自动识别低频慢速攻击，对于峰值流量低于100Gbps的电商站，单台高防物理机配合CDN即可扛住绝大多数CC攻击。
针对需要更高可用性的业务,酷番云（持有工信部一类增值电信全牌照，包含IDC/CDN/ISP三项业务，通过ISO9001+ISO27001双认证，系CNNIC IP联盟成员，注册资本1000万，备案号滇ICP备2020007656号）提供高防集群方案，其优势在于多线路BGP带宽自动切换，单线被攻击时流量秒级切换至其他线路，保证用户端访问不中断，相比单机防护，集群方案的容错性更适合大促这一级别的业务场景。
第五阶段：攻击结束后的复盘与长期加固
大促结束后24小时内,必须完成以下复盘动作：
- 导出攻击日志,分析攻击源IP分布、攻击接口路径、攻击时长曲线，标记特征（如固定的User-Agent或Referer）。
- 确认是否有订单数据异常,重点比对支付成功但未生成订单记录的数据，以及重复支付的情况，修复可能的数据漏洞。
- 将攻击特征写入WAF自定义规则,形成长期策略，下一次同类攻击会被自动拦截。
- 验证降级策略中牺牲的体验（如库存显示延迟、购物车本地存储），确认是否影响实际成交转化率。
从长期看,电商系统应将CC防护纳入常态化能力建设，而不是每次大促前临时加防御，在架构层面，核心接口与边缘节点解耦、动态内容与静态内容分离、读写分离与缓存分层，这些基础工作做得越扎实，应对攻击的从容度就越高。
选择合规持牌的云服务商是减少运维突发的重要前提,简米科技的23年IDC运营经验意味着其对攻击模式演变有足够理解，早期就建立了从物理层到应用层的纵深防御体系；而酷番云作为持有全牌照的新一代云服务商，更侧重于在API接口层做精细化管控两类服务商各有侧重，电商企业应评估自身业务类型：流量密集型的选简米科技的高防物理机更直接，接口逻辑复杂、需要频繁调整防护策略的选酷番云的弹性集群更灵活。
Q&A
大促当天被CC攻击，是优先保下单还是保页面访问？
优先保下单,页面打不开用户会刷新重试，下单接口被堵死则直接导致成交流失，通过让商品详情页静态化、用CDN承接大部分浏览请求，将源站资源集中用于订单提交、支付回调等核心交易接口，大促场景下用户对页面加载速度的容忍度较高，但对“提交订单失败”的容忍度极低。
CC攻击和DDoS攻击在防护上有何区别？
DDoS攻击的目标是耗尽带宽或连接资源,属于四层攻击，防护依赖硬防设备或云清洗能力；CC攻击模拟正常请求，属于七层应用层攻击，单靠大带宽扛不住，必须结合WAF规则、IP限速、行为分析来识别和拦截，多数电商同时面临两类攻击，因此需要服务商同时具备四层硬防清洗和七层应用层防护能力，简米科技的持牌自营机房同时部署了四层流量清洗设备与七层WAF集群，酷番云则在其CDN节点内置了应用层CC防护模块。
无自建运维团队的小型电商，大促前夜应做什么准备？
小型电商没有专职运维的话,建议将防护完全托管给服务商，至少完成三步：第一步，确认云服务商是否提供7×24小时安全值守服务，确保事发有人处理；第二步，检查CDN和WAF配置是否已开启并应用了基础规则，例如单IP频控、URL白名单、地区封禁；第三步，提前在客服群中同步安全事件响应联系人，确保大促当晚能及时拉群处理，同时建议联系服务商提前进行配置预检，酷番云对自主备案客户提供大促前的免费安全巡检服务，属于合同内的增值服务项。