配置频率限制规则

阅读时间： 约 7 分钟

前置条件： 无特殊前置条件

频率限制的用途

频率限制（Rate Limiting）对同一来源在单位时间内的请求数量设置上限，用于防护：

• 暴力破解：高频尝试账号密码
• API 滥用：恶意程序批量调用接口
• 资源爬取：短时间内大量抓取页面内容
• 秒杀/抢购作弊：自动化脚本抢占库存

前往路径：防护配置 > 安全策略 > [目标域名] > 频率限制

创建频率限制规则

操作步骤

1. 进入 防护配置 > 安全策略，点击目标域名。
2. 点击顶部导航标签 频率限制，点击「新增规则」。
3. 根据下表填写各配置项，完成后保存。

核心配置项

规则生效周期说明：

推荐配置参考

登录接口防暴力破解：

• 统计维度：客户端 IP
• 匹配条件：路径 = /login，方法 = POST
• 触发条件：在 60 秒之内，第 10 次请求开始处理
• 处理动作：拦截
• 处理动作持续时间：300 秒

API 接口防滥用（通用）：

• 统计维度：客户端 IP
• 匹配条件：路径以 /api/ 开头
• 触发条件：在 60 秒之内，第 100 次请求开始处理
• 处理动作：拦截
• 处理动作持续时间：60 秒

全站防高频爬虫：

• 统计维度：客户端 IP
• 匹配条件：请求方法 = GET
• 触发条件：在 60 秒之内，第 500 次请求开始处理
• 处理动作：JS 校验
• 处理动作持续时间：120 秒

如何确定合理阈值

在设置阈值前，先通过 安全运营 > 网站安全态势 了解正常流量基线：

1. 选择业务高峰时间段（如 12:00–14:00）
2. 查看来自单 IP 的最大请求频率分布
3. 将正常用户行为的 99th percentile（第99百分位）值的 1.5–2 倍设为阈值

原则： 阈值设置过低会误封正常用户；设置过高则起不到防护作用。建议先将处理动作设为「监控」运行 1–3 天，观察命中情况再切换为拦截。

大促活动期间的注意事项

秒杀、限时促销期间会产生正常的流量峰值，需要：

1. 提前统计历史大促的 QPS 峰值
2. 临时上调频率阈值，或对参与活动的特定路径创建宽松规则
3. 活动结束后恢复原有规则