堡塔云WAF能有效拦截中小规模CC攻击，但需手动安装启用、配置动态CC防护策略，并避免与宝塔内置流量限制冲突。
宝塔面板自带的免费WAF（即堡塔云WAF）能有效拦截中小规模CC攻击，但默认关闭，且仅开启WAF本身不够——必须配合CC触发频率和周期设置，否则形同虚设。
确认是否已安装并启用堡塔云WAF
堡塔云WAF是独立于宝塔内置“防火墙插件”的另一套系统，名字叫“堡塔云WAF”，不是“宝塔防火墙”。很多人装错或没装，直接在面板首页看不到入口。
- 进入宝塔后台 → 左侧菜单「软件商店」→ 搜索
堡塔云WAF→ 点击安装（免费，无需授权） - 安装完成后，顶部导航栏会出现「堡塔云WAF」图标，点击进入
- 首次进入会提示「添加网站」，选中你要防护的站点，勾选「启用WAF防护」并保存
- 注意：该WAF不依赖宝塔Nginx/Apache，是独立运行的Go服务，端口默认为
888，若冲突需手动改
在堡塔云WAF中配置动态CC防护策略
静态阈值（比如“每秒5次”）容易被绕过，堡塔云WAF的动态CC防御会根据你站点真实访问量自动学习基线，更抗干扰，但需手动开启并观察日志调优。
- 进入「堡塔云WAF」→ 选择对应网站 →「CC防护」页签
- 开启「动态CC防御」开关（不是「基础CC防护」）
-
初始触发阈值建议设为正常峰值QPS的1.5倍（例如日常最高20 QPS，这里填30） -
学习周期保持默认7天即可，它会每天分析访问特征，逐步收紧规则 - 切勿把
人机验证直接开在首页URL，应只加在登录页、搜索页等高消耗接口上，否则影响SEO和用户体验
补充：宝塔内置流量限制不能替代WAF CC防护
宝塔站点设置里的「流量限制」本质是Nginx的limit_req模块，只做简单令牌桶限速，对伪造User-Agent、随机参数、慢速CC等无效，且一旦触发就返回503，易被识别为防御存在。
- 路径：网站 → 选择站点 →「设置」→「流量限制」→ 开启
- 方案选「博客」仅限低配小站应急，实际生产环境建议留空或仅对
/wp-login.php等敏感路径单独限速 - 若同时开启堡塔云WAF和此处流量限制，可能造成双重拦截，日志混乱，排查困难
- 真正需要的是：WAF负责识别+拦截恶意请求，Nginx层只做基础连接数控制（如
limit_conn防SYN Flood）
动态CC的“动态”二字很关键——它不是一劳永逸，前3天日志里会出现大量试探性误拦，得进「拦截日志」里人工放行真实用户IP段；第5天起规则才趋于稳定。别在刚开启时就调高阈值，否则等于关掉防护。
