WAF 配置与漏洞防护规则精细化定制针对小程序常见漏洞如 SQL 注入、XSS、越权访问在 WAF 中启用预定义规则集如 OWASP CRS。通过分析历史攻击日志自定义规则阻断非常规参数传递或异常 HTTP 头。API 接口签名验证为所有接口增加动态签名机制示例代码PHP$secretKey your_secret_key; $timestamp time(); $nonce uniqid(); $signature hash_hmac(sha256, {$timestamp}{$nonce}{$requestBody}, $secretKey); // 请求头携带 X-Sign: {$signature}, X-Timestamp: {$timestamp}, X-Nonce: {$nonce}服务端验证时间戳有效性如 ±5 分钟和非唯一性。敏感操作二次校验对支付、密码修改等高风险接口强制叠加短信验证码或生物识别验证前端与后端分离验证逻辑。高防 CC 攻击防护策略请求特征过滤通过高防服务配置以下策略频率阈值单 IP 每秒请求超过 50 次触发验证码挑战User-Agent 黑名单拦截非常规浏览器标识或空 UACookie 指纹强制首次访问生成加密指纹重复异常请求丢弃业务层限流设计Redis 实现令牌桶限流Python 示例import redis r redis.StrictRedis() def check_rate_limit(user_id): key frate_limit:{user_id} current r.incr(key) if current 1: r.expire(key, 60) return current 100 # 每分钟 100 次动态资源隔离当 CC 攻击持续时自动将静态资源如图片、CSS切换至 CDNAPI 接口返回简化 JSON 数据降低服务器负载。监控与应急响应实时攻击大盘部署 ELK 或商业 APM 工具监控异常状态码如 403/499 突增、接口响应时间偏离基线值如 500ms。自动封禁联动通过 WAF 日志对接 SIEM 系统对同一 IP 的多次攻击行为自动下发防火墙黑名单规则并邮件通知安全团队。数据备份与回滚每日凌晨对数据库和代码进行快照备份攻击导致数据污染时优先回滚至最近干净版本而非手动修复。