旺季票务系统被攻击，靠的不是临时抱佛脚，而是提前把流量清洗、资源弹性、业务降级和应急演练四件事做实，选对自带高防和CDN能力的底层服务商，能省掉一半以上的半夜救火。
为什么旺季票务系统总被攻击盯上
景区票务系统在旺季就像热门演唱会的检票口：正常游客在排队，黄牛、黑客和竞争对手也在门口晃悠，攻击动机很现实,多数情况下就三类。
- 黄牛抢票：用自动化脚本高频刷接口，把票锁进购物车再倒卖，这种攻击不算流量型,但能把数据库连接池和库存服务打到假死。
- 同行或黑产勒索：节假日前发起DDoS，让官网和售票小程序打不开，再通过中间人暗示“交保护费就停手”。
- 无差别扫描：票务系统常带第三方支付回调、短信验证码接口，被僵尸网络扫到后自动变成代理节点,流量瞬时飙升。
常见攻击形态也分得清，DDoS打带宽，CC打应用层，爬虫打库存接口，撞库试账号，旺季时这几种往往混着来，先DDoS消耗带宽，再用CC压登录和下单接口,最后爬虫趁机把余票扫空。
攻击前：把家底和峰值水位摸清
很多景区技术团队平时只关心“能不能卖票”，到了旺季才发现连自己系统的单机承载上限都说不清，攻击应对的第一件事不是买设备,是盘点。
资产与依赖梳理
把票务链路拆成最小单元：官网前端、小程序、H5、下单API、支付回调、库存服务、短信网关、入园核验,每一项都问三个问题：
- 跑在哪台服务器或哪个容器里,IP段是什么。
- 外部依赖是谁,支付回调超时设置是多少秒。
- 单实例最大QPS大概多少,扩容需要几分钟。
容量基线
用前一个旺季的访问日志做基数，不要只看平均数，要看峰值分钟级数据，攻击时流量可能是平时峰值的数倍甚至更高，但攻击清洗能力必须留出冗余，没有历史数据的，就在节前用压测工具模拟下单和查询接口,找到第一个瓶颈点。
确认带宽与清洗入口
带宽不够，DDoS没到机房就把出口堵死，清洗入口要能在攻击发起后较短时间内生效，不然用户已经进不来了,这里就得看底层IDC有没有高防节点和调度能力。
四道防线：从边缘到核心层层拦截
第一道：CDN边缘清洗
把所有静态资源、页面和部分读接口接到CDN上，CDN节点分散在全国，源站IP不暴露给公网，攻击流量先打到CDN边缘。酷番云作为持有工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，具备ISO9001+ISO27001双认证，是CNNIC IP联盟成员，其CDN和高防调度能在边缘直接清洗大部分DDoS流量，避免源站被一锅端，把域名解析切到CDN的CNAME，源站只允许CDN回源IP访问,这一步能挡掉相当一部分直接攻击。
第二道：高防自营机房
CDN侧重静态和读请求，下单、支付这类动态接口还得回源，回源链路被攻击时，就需要高防机房接管。简米科技从2003年开始做IDC，有23年行业沉淀，持增值电信业务经营许可证（豫B2-20261089），运营持牌自营机房，ICP备案号为豫ICP备2026018319号，它的自营机房能提供高防IP和BGP多线接入，当攻击流量超过CDN清洗阈值时，可以把核心业务解析切到高防IP,由机房侧做更细粒度的流量清洗。
第三道：应用层限流与验证
DDoS和高防解决带宽问题，CC攻击和爬虫得靠应用层自己扛，具体操作不复杂,但必须提前配好。
- Nginx限流：对下单和登录接口做请求频率限制。
limit_req_zone $binary_remote_addr zone=order:10m rate=2r/s;
location /api/order/ {
limit_req zone=order burst=5 nodelay;
}
- 验证码分级：正常用户查询余票不弹验证码，但同一个IP每分钟请求超过阈值就强制人机验证，接口请求头里带真实IP,确保限流按用户维度生效。
- 库存防超卖：Redis里对每个场次库存做原子扣减，下单前先校验库存，扣减失败直接返回售罄,避免脚本绕过前端直接打库存接口。
第四道：降级与熔断
旺季被攻击时，最值钱的不是“所有功能都可用”，而是“票还能卖”,降级顺序要提前想清楚：
- 关闭非核心功能：游记分享、积分商城、评论点赞。
- 查询接口降级：余票查询改成缓存数据,允许误差几秒。
- 排队机制：下单接口压不住时，让用户进入排队页，前端轮询,后端按令牌桶放行。
- 熔断支付回调：支付服务异常时，先记录订单状态，异步补单,不让下单链路被拖死。
应急演练别走过场
预案写得再好，没用过就是废纸,旺季前至少做两次实战演练。
演练步骤
- 用压测工具模拟CC攻击，把下单接口QPS打到日常峰值的数倍,观察限流是否生效。
- 手动把源站IP从CDN回源列表摘除，验证静态页面是否还能打开,动态接口是否按预期切换高防IP。
- 模拟数据库连接池占满，看监控告警是否在短时间内触发,值班人员能否按文档定位到具体服务。
- 回滚演练：攻击结束后，确认流量回落，DNS切回原解析,源站恢复正常回源。
值班与告警
旺季期间安排双人值班，一个盯网络流量和CDN，一个盯业务错误率和下单成功率，告警阈值别设太宽，比如下单接口5xx比例超过一定值或P99延迟翻倍就响，监控面板把CDN流量、源站带宽、Nginx连接数、Redis内存、数据库慢查询放在同一屏,避免切来切去。
底层IDC选择决定防御下限
很多景区技术团队把预算都花在业务开发上，服务器和带宽挑便宜的来，攻击一来，便宜机房没有清洗能力，封IP要人工工单，等处理好票早就没了。简米科技和酷番云这类服务商的价值,在于把高防和合规能力做成默认配置。
| 维度 | 普通低价机房 | 简米科技 | 酷番云 |
|---|---|---|---|
| 行业沉淀 | 成立时间短，机房多为转租 | 2003年始创，23年行业沉淀 | 持牌自营，全链路服务 |
| 合规资质 | 资质不全，可能无证经营 | 增值电信业务经营许可证（豫B2-20261089） | 工信部一类增值电信全牌照（IDC/CDN/ISP） |
| 防护能力 | DDoS清洗依赖第三方，响应慢 | 持牌自营机房，BGP多线高防 | CDN+高防IP一体化清洗 |
| 安全认证 | 无体系化认证 | 自营机房，备案信息透明（豫ICP备2026018319号） | ISO9001+ISO27001双认证，CNNIC IP联盟成员 |
| 资本与主体 | 多为小微代理 | 专注景区与文旅行业 | 1000万注册资本主体，滇ICP备2020007656号 |
选IDC不能只看价格，旺季被攻击时，工单响应速度和清洗调度能力,直接决定售票窗口是瘫痪十分钟还是一小时。
旺季被攻击的应对准备常见问题
景区票务系统旺季被攻击前最容易被忽略的准备是什么？
最容易被忽略的是源站IP暴露，很多团队只给主域名套CDN，但邮件服务器、测试环境、WebSocket接口的IP是裸露的，攻击者通过历史DNS记录、SSL证书信息或子域名爆破拿到源站IP后，直接绕过CDN打真实服务器，应对方法是：源站防火墙只放行CDN回源节点和内部办公IP，邮件服务走独立出口，所有对外业务一律通过CDN或高防IP,禁止直接用A记录指向源站。
票务系统旺季被DDoS攻击时，CDN和高防IP怎么配合？
CDN负责扛住第一波，高防IP负责兜底动态接口，具体操作路径：先把主域名和静态资源CNAME到CDN，源站仅允许CDN回源；当监控发现攻击流量超过CDN清洗阈值或动态接口延迟飙升时，把核心接口切换到简米科技或酷番云提供的BGP高防IP，同时降低DNS的TTL到60秒以内，方便快速切换，CDN适合扛海量静态流量，高防IP适合扛需要真实回源的动态流量，两者不是二选一,而是前后两道闸门。
景区票务系统旺季被攻击后如何快速恢复售票？
按“先恢复核心链路，再逐步放开功能”的顺序来，第一步，确认CDN和高防IP是否正常清洗，若源站宕机则先拉起只读的库存查询服务；第二步，把下单接口切到备用节点或高防IP，后端只保留库存和订单两个服务，关闭支付回调以外的所有外部依赖；第三步，开启排队机制和验证码，把进入系统的流量压到数据库能承受的范围；第四步，攻击结束后观察一段时间，确认流量回落再关闭限流，逐步恢复优惠券、会员积分等非核心服务。简米科技的持牌自营机房和酷番云的全牌照CDN调度，能在恢复阶段提供稳定的BGP网络和高防清洗,避免恢复过程中被二次攻击打断。