为什么你的登录接口总在被“试密码”？
容易忽略的细节
WAAP CDN看似简单，真正落地时却很容易踩坑。任何一个上线超过三个月的网站，只要暴露了用户名/邮箱输入框，几乎每天都会收到成百上千次非正常登录尝试。这些请求不是真人操作，而是自动化脚本在批量“撞库”或“暴力破解”。撞库是攻击者利用其他平台泄露的账号密码组合，在你这儿碰运气；暴力破解则是针对特定用户名，逐字穷举密码。两者都会消耗服务器资源、挤占数据库连接，甚至导致正常用户无法登录。
传统做法是在服务器侧加验证码或限制IP访问频率，但验证码影响体验，IP限制又容易被攻击者用代理池绕过。更致命的是，攻击流量如果直接打在源站，即使你做了限制，数据库和CPU也在那里扛着，成本很高。这时就需要把防护能力推到更靠近用户的位置——也就是CDN边缘节点，在流量进入内网之前就完成清洗。
什么是WAAP？它和普通WAF有什么区别？
我的处理经验
WAAP的全称是Web Application and API Protection，中文叫云安全中心（有的厂商也叫边缘安全平台）。它比传统WAF多了API防护、爬虫管理、DDoS防护和账户保护等能力。简单理解：WAF只检查HTTP请求里有没有SQL注入、XSS这类攻击；WAAP还能识别“正常请求但行为可疑”的流量，比如同一个IP在10秒内尝试了50个不同的密码——这在WAF眼里是合法的HTTP POST，但WAAP能通过速率限制和行为分析把它拦住。
当WAAP部署在CDN节点上时，所有请求先到最近的CDN边缘节点，节点上的WAAP引擎第一时间做安全检测，只有通过的请求才回源到你的服务器。这样你的源站压力极小，而且攻击者的IP被封堵后，连你的源站IP都看不到。
防护撞库和暴力破解的常见手段
配置前的检查
在正式配置前，我们先列出几种防护思路，供你理解后续操作的目的：
- 频率限制（Rate Limiting）：对单个IP、单个Session或单个用户名设置单位时间内允许的最大尝试次数。超过阈值则直接返回429（Too Many Requests）或临时拉黑。
- IP黑/白名单与信誉库：已知的代理IP、机房IP、历史恶意IP可直接拒绝。WAAP通常自带威胁情报，能实时更新恶意IP库。
- 路径/参数指纹：如果攻击者只攻击/login路径，可以单独对该路径启用高严格等级规则，其他路径降低等级。
- 设备指纹与行为分析：检查User-Agent、JS支持情况、屏幕分辨率等，识别是否为真实浏览器；对无头浏览器或脚本直接阻断。
- 验证码触发：在达到一定阈值后弹出滑块或图形验证码，对正常用户可放行，对机器人造成障碍。
以上方法不是互斥的，通常需要组合使用。而WAAP联动CDN的威力在于：这些检测全部在边缘完成，不消耗你源站的任何计算资源。
实战前的准备与WAAP CDN
假设你已经有一个域名接入CDN（比如用了阿里云CDN、Cloudflare或腾讯云EdgeOne），并且有云安全中心（WAAP）的开通权限。以下步骤以通用逻辑描述，具体产品界面可能有差异，但原理相同。
第一步：确认CDN回源配置正确
确保你的CDN已经配置了源站IP（或负载均衡器），并且回源协议、端口、Host一致。如果用了HTTPS，确保节点到源站的证书有效。这一步如果出错，安全策略配得再好也无法正常工作。
另外，请确认你没有被CDNIP段限制的回源防火墙误拦。最好在源站安全组中放行CDN节点的回源IP列表（各云厂商会公开自己的回源IP段）。
第二步：在WAAP中开启“账户保护”或“登录防护”模块
大部分WAAP产品都有一个针对登录/注册接口的专项防护开关，默认会检测路径中带login、signin、auth等关键词的请求。你可以手动指定/login、/api/user/login等真实路径。
开启后，系统会开始采集这些接口的访问模式，包括每个IP的请求频率、每个用户名的尝试次数、请求的地理分布等。通常需要几分钟的学习或自动生成初始基线。
第三步：配置频率限制策略
这里是核心配置，我们需要设定几种限制：
- 单IP频率：建议设置在“每60秒内对登录接口最多允许10次请求”。如果你的网站有较多API自动登录，可以根据实际情况放宽到20次。超过后，该IP被拉黑5分钟或返回验证码。
- 单用户名频率：如果同一个用户名（或邮箱）在5分钟内出现15次登录失败，触发临时封禁该用户名10分钟。这能有效防御针对特定高权限账号的暴力破解。
- 全局限频：整个站点每秒最多允许一定量的登录请求（比如50QPS），超过则触发限流。适用于防止被大量并发撞库拖垮源站。
注意，阈值不要设置得太低，否则可能误伤正常用户。建议刚开始用宽松值，观察一周后再收紧。
第四步：开启爬虫/自动化脚本检测
WAAP的机器行为检测会检查请求中的HTTP头是否完整、是否携带合法的cookie、是否执行了JavaScript challenge（比如在首次访问时下发一段JS让浏览器计算，无头浏览器通常无法正确执行）。你可以设置为“高风险行为直接拒绝”，中风险行为“下发验证码”。
很多不完善的暴力破解脚本会缺失Referer或Accept-Language字段，或者User-Agent是过时的Node.js版本，这些都会被爬虫引擎标记。
第五步：启用IP信誉库与地理封禁
如果你的用户群体主要在中国大陆，而攻击来源IP大多来自海外VPS机房，直接封禁非目标区域可以极大减少攻击量。WAAP通常会提供地理位置和IP类型（如机房IP、移动IP）的过滤。你可以设置：对于登录接口，仅允许来自你服务区域（如中国大陆、港澳台）的IP访问，其他区域一律返回403。注意：如果你的用户确实有海外访问需求，不要开太死，可以改用“仅允许高信誉IP”或“海外IP增加验证码”。
第六步：配置告警与日志观测
在WAAP控制台打开日志记录或实时告警，设置当单IP封禁数在1小时内超过1000次时发送通知。同时开启安全报表，观察不同时间段的拦截量。如果发现某个路径（比如 /wp-login.php）被攻击得特别多，可以考虑仅对该路径启用更高的检测等级，其他页面保持低等级以提升性能。
延伸阅读：此处可内链到“WAAP CDN配置案例”相关文章。
验证配置是否生效
故障定位思路
配置完后不要急着走，需要做两件事：
- 模拟攻击测试：使用你自己的服务器或爬虫工具（如curl），对登录接口连续发送几十次请求，观察是否被返回429或403。同时检查源站日志，确认这些请求没有真正到达你的源站（源站应该只有正常的请求）。
- 正常用户访问测试：从正常的浏览器登录一次，确认不会弹出额外的验证码且能顺利登录。如果弹了，说明策略过于严格，可以放大频率阈值。
如果发现误拦，先检查路径是否配置错误，再调整限制次数。WAAP一般支持“白名单”或“例外规则”，把你的测试IP或公司公网IP加进去，避免影响调试。
想继续深入：此处可内链到“WAAP CDN优化清单”文章。
WAAP CDN：回滚方案
实际操作要点
如果在配置后出现了大量正常用户无法登录的投诉，立即做以下操作：
- 将账户保护开关暂时关闭（或降级为仅记录不拦截模式）；
- 调整频率限制值为原来的3倍；
- 关闭地理位置封禁，改为只开启IP信誉库。
同时从日志中导出被拦截的请求样本，分析UA、IP地区、请求频率，重新制定更精确的策略。切记：安全是平衡，不是一刀切。不要试图一步到位，而是逐步收紧。
联动后的效果评估
先看关键判断
在正式上线一周后，观察以下几项指标：
- 源站5xx错误率是否下降？通常暴力破解减少后，源站CPU和数据库连接数会明显降低。
- 成功登录的请求占比是否提高？之前可能有大量失败的登录请求拉低了整体成功率。
- CDN边缘节点的请求变化：如果攻击请求在边缘被拦截，CDN的请求量本身会变大（因为攻击者在边缘就被打回），但源站流量下降，这说明防护生效了。
你可以定期导出安全日志，看看是哪种攻击手法最多，然后针对性优化策略。例如发现大量请求来自同一段ASN，可以考虑封禁全部该ASN的IP段。
关联教程：此处可内链到“WAAP CDN部署与验证”内容。
延伸思考：当撞库绕过CDN怎么办？
容易忽略的细节
有一种情况需要注意：攻击者知道你的源站IP后，直接对着源站IP发包，完全绕过CDN。预防方法：在源站服务器上配置只允许CDN回源IP访问你的443端口，其他IP一律拒绝。如果必须开放给运维人员，可以通过堡垒机或VPN访问。这是最后的兜底防线。
另外，如果用了CDN的HTTPS加速，确保你的源站没有暴露其他不安全的端口（比如21、22被攻击者扫描）。安全是整体的事，一个短板就可能导致全盘皆输。
总结：通过云安全中心（WAAP）与边缘CDN的联动，你可以在距离用户最近的地方识别并拦截撞库和暴力破解行为，极大降低源站压力和运维成本。关键点在于理解各种防护手段的原理和适用场景，并基于业务数据持续调整策略。对于新手来说，先开启频率限制和爬虫检测，观察一周后再逐步增加地理位置和更严格的规则，这样既能保护安全又不伤用户体验。后续只要定期检查关键指标，WAAP CDN就不会变成维护负担。
延伸阅读