指标口径：拦截率、误杀率、P95 延迟如何定义 灰度开关
围绕“指标口径：拦截率、误杀率、P95 延迟成本优化”，本文从业务风险、架构要点、落地流程与验收指标四个维度拆解，帮助你快速形成可执行的防护方案。
核心能力与落地要点
- CPU 打满怎么排：火焰图与热点路径优化：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 限流返回码怎么选：429/403/404 的业务影响评估：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 缓存如何帮防护：热点页面的多级缓存设计：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 队列溢出防护：排队上限与丢弃策略的设计建议：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
- 短信轰炸治理：配额、滑窗与黑名单的工程化落地：从识别、缓解到回溯三段式闭环，确保可观测、可回滚、可量化。
黑洞（blackhole）策略要明确触发阈值与恢复条件，并在业务侧准备“应急对外说明”与流量切换方案，避免黑洞导致的长时间不可用扩大影响。
对源站隐藏的验收建议包括：源站是否仅允许高防/回源 IP 访问、是否存在旁路域名/直连端口、以及是否能在安全组与 Nginx 层做到“默认拒绝”。
UDP Flood 与反射放大攻击要在入口就做特征过滤与速率限制，源站侧再做带宽与包速的双维度阈值，避免单一阈值在不同协议下失真。
当攻击目标是耗资源计算（如复杂模板渲染、正则、加解密或大 SQL），应用侧要尽量把昂贵操作移出主路径，必要时启用预计算与结果缓存。
部署与验收清单
- 链路分层：CDN/WAF/高防/源站分层部署，避免单点被打穿。
- 可观测性：建立访问日志、错误率、延迟与拦截率的监控面板。
- 应急预案：灰度开关、黑白名单与回滚策略提前演练。
- 入口限速：Nginx/SLB 先限流，应用侧再做频控兜底。
常见问题
Q：如何避免“防护开得越狠越误伤”？
A：用指标驱动策略：先观测再收紧，优先做分层与限速，再逐步加入更细粒度规则。
Q：如何避免“防护开得越狠越误伤”？
A：用指标驱动策略：先观测再收紧，优先做分层与限速，再逐步加入更细粒度规则。