02
应用安全
WAF · DDoS · Bot 管理 · API 安全
出海之后，攻击面是敞开的：没有内网边界，任何人都能直接敲你的接口。真正的风险不是"会不会被打"，而是被打的时候你不知道、拦不住、也没人兜底。这一层把防护放在请求到达源站之前。
如果你正在遇到这些
- API 被批量调用、被爬取，流量来源说不清楚
- 遭遇过 DDoS 或 CC 攻击，只能靠封 IP 硬扛
- WAF 开着但误杀严重，最后不得不放行大部分规则
- 注册、登录、优惠券、短信接口被自动化脚本刷
- 竞品或数据公司在持续抓取你的内容与价格
- 安全日志分散在云厂商、网关和应用里，出事时拼不出完整链路
我们能做什么
API 安全
以 schema 校验和请求合法性验证约束接口调用，配合 mTLS 与客户端证书做强身份。移动端和开放接口是最容易被绕过 WAF 直接打穿的地方。
边界与前提
- WAF 拦不住业务逻辑漏洞——越权、水平权限、订单金额篡改这类问题必须在应用层修
- Bot 管理需要一到两周的流量学习期才能给出稳定判断，刚接上的第一周不要急着开阻断
- 严格的 API schema 校验会影响老版本客户端，需要版本灰度配合
- 如果源站 IP 已经泄露，边缘的防护可以被绕过；迁移时必须同时换源站地址并限制回源来源
常见疑问
云厂商自带的安全组不够吗？
不够。安全组工作在 IP 和端口层，看不懂 HTTP 请求内容，也识别不了"这个请求来自真人还是脚本"。应用层攻击需要能解析请求语义的一层。
上了 WAF 会不会影响正常用户？
会有误杀，这是任何 WAF 的常态。正确做法是先观察模式运行一段时间，按业务接口逐条调整，再切到阻断。上来就全量阻断几乎一定会出问题。
Bot 和爬虫一定要拦吗？
不一定。搜索引擎爬虫和合规比价是流量来源，恶意抓取才是成本。区分清楚之后再做策略，比"一律封禁"更有价值。