宝塔免费版不支持完整CC防御，需专业版安装Nginx防火墙插件；动态CC防御比静态更可靠，需开启并经历24小时冷启动；POST与Cookie限流需按认证方式谨慎启用；优先手动加黑名单而非自动封禁。
宝塔免费版不支持完整 CC 防御功能，必须用专业版安装 Nginx 防火墙插件，否则所有「CC 防御」开关都是灰色不可点——这是最常卡住的一步。
怎么确认 Nginx 防火墙插件已装好并能进管理页
很多用户以为点了「开启」就生效，结果日志照刷、IP 照扫，问题出在根本没进对地方：
- 别在「网站」→「防火墙」里找，那个是旧版轻量防护，不带 CC 动态学习和自动封禁
- 必须去「软件商店」搜索
Nginx防火墙，状态显示「已安装」才算成功（免费版会直接灰掉，无法安装） - 安装完后，首页左侧菜单底部会出现盾牌图标或「Nginx 防火墙」文字入口；如果没看到，执行
bt 18命令检查插件状态，或重装插件 - 点击进入后，顶部右侧大开关要是蓝色「已开启」，否则所有规则都不运行
为什么「普通 CC 防御」容易误杀，而「动态 CC 防御」更可靠
静态阈值（比如「60 秒内超 20 次就封」）在真实环境几乎必误伤：
- CDN 回源请求集中打到一台服务器，单 IP 可能瞬间触发几十次
- 前端 AJAX 自动重试、Vue/React 路由懒加载、微信 WebView 内嵌页刷新，都会被当攻击
- 攻击者用慢速代理池，每个 IP 每分钟只发 2–3 次 /wp-login.php，完全绕过固定周期检测
-
动态 CC 防御会学习你站点自然流量基线（例如首页平均 QPS 是 6.2），浮动判定异常峰值，压得住扫描又不卡真实用户
开启路径：网站 → 选目标站点 → 防火墙 → CC 防御 → 勾选「开启动态 CC 防御」
POST 请求和 Cookie 会话级限流该不该开
这两个是防爆破的关键补丁，但开错会直接导致登录/提交失败：
-
开启 POST 请求 CC 防护：专防暴力提交表单（如 /login、/api/auth），建议开启，但需确认你的登录接口不是 GET 方式 -
开启 Cookie 会话级限流：按 session_id 统计请求频次，能拦住用同一账号反复试密码的行为；但如果站点用 JWT 或无 Cookie 的 API 认证，这功能无效 - 两者都依赖 Nginx 正确解析
$cookie_*和$request_method，若你改过 Nginx 主配置或用了自定义反代规则，先验证日志里能否正常打出这些变量
自动封禁和手动加黑名单，哪个更值得优先做
自动封禁看着省事，但在多数中小站点上风险远大于收益：
- 设「5 次/24 小时」封禁，可能刚巧把百度蜘蛛、监控探针、甚至企业微信内嵌页的合法请求拉黑
- 一旦误封，解封要进后台操作，没人盯的话可能持续数小时断流
- 更稳妥的做法是：先关掉自动封禁，打开防火墙日志，每天花 2 分钟扫一眼
访问次数 Top 10 IP，对反复扫/phpmyadmin/、/wp-config.php.bak的 IP，手动加进「永久黑名单」 - 手动加的 IP 不受自动策略影响，也不会被定时清理，可控性高得多
真正复杂的是动态基线学习需要至少 24 小时冷启动期，刚开「动态 CC」那会儿阈值不稳定，前两天得盯着日志调低容忍度，否则可能把刚上线的新功能接口误判成攻击源。
