真正稳住服务需Nginx与WAF多层协同：Nginx做快准狠表象过滤（IP限流、连接限制、特征秒封），WAF负责语义分析、行为识别与动态策略，二者通过共享黑名单、日志联动、降级透传实现纵深防御。
单靠 Nginx 限流只能拦住部分 CC 流量，真正稳住服务得靠多层配合。Nginx 做第一道快速拦截，第三方 WAF（比如雷池、OpenResty 自研 WAF 或商业 WAF）负责深度识别和策略响应，两者不是替代关系，而是分工协作。
? Nginx 层：做快准狠的基础过滤
它不分析语义，只看表象——IP、频率、连接数、请求头结构。重点配置三类规则：
-
IP 级限流：用
limit_req_zone控制每秒请求数，例如rate=10r/s防扫描类高频访问 -
连接数限制：用
limit_conn_zone限制单 IP 并发连接，比如limit_conn conn_per_ip 20，防慢速连接耗尽资源 -
可疑特征秒封：对空 User-Agent、异常 UA（如 python-requests/2.0）、高频 404 请求的 IP，直接
return 444或写入黑名单临时文件供 WAF 同步
?️ 第三方 WAF 层：做有判断力的智能拦截
它跑在 Nginx 后或前置 CDN 之后，能解析完整 HTTP 报文、提取参数、运行规则引擎。关键作用是弥补 Nginx 的短板：
- 绕过 IP 限流的攻击识别：比如大量不同代理 IP 请求登录页，Nginx 看似“每个 IP 都合规”，WAF 可结合行为序列（同一手机号多次失败+滑块未通过+设备指纹异常）打风险分，自动拦截
- 动态阈值调整：WAF 支持按 URL 路径设不同限流策略，首页允许 50 QPS，而 /api/login 接口只允许 5 QPS，并可基于历史流量自动升降
-
规则级精准阻断：拦截含
union select、sleep(的参数，或匹配恶意 JS 注入特征的响应体，这类语义分析 Nginx 本身做不到
? 两层协同的关键落地点
要让 Nginx 和 WAF 真正形成纵深，不能各自为政：
- 共享黑名单：Nginx 检测到异常 IP 后，写入 Redis 或本地文件；WAF 定时拉取并同步封禁，避免重复放行
-
日志联动分析：Nginx access 日志打标（如
$sent_http_x_waf_action），WAF 日志记录拦截原因；用 ELK 统一看板关联分析，快速定位是 CC 还是爬虫还是撞库 -
降级信号透传：当 WAF 触发熔断，返回自定义 Header（如
X-WAF-Status: degraded），Nginx 捕获后自动切到静态缓存页或返回 503，避免用户看到空白或超时
⚡ 实际部署建议顺序
别一上来就堆 WAF，先夯实 Nginx 底座：
- 第一步：配置
limit_req+limit_conn+client_max_body_size，上线观察 24 小时，确认基础抗压能力 - 第二步：接入轻量 WAF（如 ngx_waf 或雷池社区版），开启 SQL/XSS/CC 默认规则，关闭 Nginx 中已由 WAF 覆盖的同类规则，避免冗余
- 第三步：打开 WAF 的“学习模式”收集 3–5 天真实流量，生成白名单和自定义规则，再切到防护模式
- 第四步：在网关层（如 Spring Cloud Gateway）补上接口级限流和熔断，完成从接入层到业务层的闭环
