防采集和防 DDoS 在策略上有什么区别？

结论：防 DDoS 的核心是「保可用」，判定依据在流量层，处置动作是丢弃和稀释，宁可误杀一部分也要保住整站；防采集的核心是「保数据」，判定依据在行为层，处置动作是分级分流，宁可放过一部分也不能误伤真实用户。两者不是同一套规则的松紧差别，而是判定依据、处置手段、误伤代价三处全都不一样。

防采集和防 DDoS 的判定依据有什么区别？

结论：防 DDoS 看的是「流量长什么样」，防采集看的是「这个访问者像不像人」。

DDoS 的判定指标基本都在网络层和传输层：每秒包数（pps）、带宽（bps）、SYN 包占比、新建连接速率、源 IP 分布的熵值。典型 SYN Flood 的特征是半开连接数暴涨而完整握手比例极低，这类攻击用 10 秒粒度的采样就能识别。应用层 DDoS（CC 攻击）往上走一层，看的是单 IP 并发连接数、QPS 峰值、请求 URL 集中度。

防采集的判定指标在行为层：请求间隔的方差（爬虫往往是固定 100ms 或 1000ms 的等间隔）、单会话访问深度、页面跳转顺序是否符合站内导航逻辑、Referer 链是否连续、是否执行 JS、UA 与 TLS 指纹（JA3，客户端 TLS 握手特征的哈希值）是否匹配、Cookie 与 Session 是否复用。真人访问的间隔方差大、路径跳跃、会加载图片和 CSS；采集器通常只取 HTML，静态资源请求比例低于 20%。

一句话区分：DDoS 判定是「聚合统计问题」，防采集判定是「单体分类问题」。

处置动作上有什么不同？

结论：防 DDoS 的动作是「减法」，防采集的动作是「分流」。

DDoS 的处置手段是清洗和丢弃：流量清洗中心把恶意流量摘掉只回源正常包、黑洞路由把整个 IP 的流量丢弃、SYN Cookie 在不建连接的情况下完成握手校验、Anycast 把攻击流量分散到多个节点稀释。这些动作的共同点是「一刀切」，一旦触发，被判定对象完全拿不到服务。

防采集的处置手段是分层递进：第一级返回 429 状态码加 Retry-After 响应头，告诉对方降速；第二级下发 JS 挑战或验证码，真人 3 秒内通过、脚本无法完成；第三级做内容降级，返回缺字段或带水印的假数据；第四级才是按 IP、账号、指纹维度封禁。每级都保留申诉和自愈通道，封禁通常设 1 小时到 24 小时的自动过期。

为什么防采集不能照搬黑洞策略？

结论：因为两者的误伤代价不对称。

DDoS 场景下误杀 5% 的真实用户，换来 95% 用户的可用性，这笔账是划算的，业务方普遍接受。防采集场景相反：一次误封真实用户，损失的是这个用户的转化、复购，以及搜索引擎爬虫被误封后带来的收录下跌。国内主流搜索引擎蜘蛛的 UA 是公开的，误封后站点收录恢复通常要 2 到 4 周。

所以防采集策略的第一原则是「可解释、可回滚」，任何一条规则上线前要先用影子模式跑 24 小时，统计命中率与误杀率，误杀率超过 0.1% 就不该直接生效。

CC 攻击为什么是两者的灰色地带？

结论：CC 攻击是应用层 DDoS，但它的单条请求行为和正常用户完全一致，靠单 IP 行为分析抓不到。

CC 攻击用大量真实 IP、真实 UA、低速请求打满后端，单个 IP 的 QPS 可能只有 2。这时判定的关键从「单体像不像人」切换到「全局聚合规模」：同一 URL 在 1 分钟内被 5000 个不同 IP 以相同参数请求、后端 CPU 打满而带宽平稳，就是 CC 的典型画像。处置上先做 URL 级和接口级限速（例如单接口 200 QPS 上限），再按 IP 段和 ASN 做聚合统计，最后才考虑人机校验。

怎么组合部署？

结论：按 L3/L4 清洗 → 应用层风控 → 业务层限速的顺序分层，三层各管一段。

第一层在网络边缘做流量清洗与连接数限制，处理 SYN Flood、UDP 反射，目标是把 pps 压到阈值以下；第二层在 WAF 或风控引擎做行为判定，处理采集与 CC，输出 429、验证码、降级内容三类动作；第三层在业务接口做兜底限速，按账号和接口维度设配额。三层之间共享情报，边缘层识别出的高风险 IP 段可以下发给风控层做加权，但不下发为直接封禁。

收束一句：DDoS 防御是工程问题，比的是容量和响应速度；防采集是策略问题，比的是判定精度和误伤控制，把两者的规则混用，通常两头都做不好。