云小栈在腾讯云 CDN 中，IP 访问频率限制（即基于源站 IP 或客户端 IP 的访问速率控制）主要通过 “安全防护” → “频率限制” 功能实现。以下是具体操作步骤和注意事项：
✅ 一、前提条件
- 域名已接入腾讯云 CDN；
- 已开通 CDN 安全防护 服务（部分功能需单独购买或升级套餐）；
- 建议先测试验证策略效果，避免误封正常用户。
✅ 二、配置步骤（控制台操作）
方式 1：通过「频率限制」规则（推荐）
- 登录 腾讯云 CDN 控制台
- 左侧导航栏 → 域名管理 → 点击目标域名进入详情页；
- 顶部菜单选择 安全防护 → 频率限制；
- 点击 新建规则：
- 匹配条件：
- 支持按
IP（自动识别客户端真实 IP，需确保回源正确配置了X-Forwarded-For等头）； - 可组合其他条件（如 URI 路径、User-Agent、Referer 等）；
- 支持按
- 动作：
- 选择 拒绝访问（返回 403/429）或 限速（返回 503 + 限流）；
- 阈值设置：
- 例如：
100 次请求 / 60 秒（即每 60 秒内同一 IP 超过 100 次则触发）； - 时间窗口可选：1s、5s、10s、30s、60s、300s、600s、3600s；
- 例如：
- 白名单/IP 黑名单：
- 可排除特定 IP（如内部系统、监控节点），避免误伤；
- 匹配条件：
- 保存并启用规则。
🔔 提示：频率限制默认对所有资源类型生效，若仅需限制某类文件（如
/api/*），请在“匹配条件”中添加 URI 路径过滤。
方式 2：结合 WAF 联动（高级场景）
若已部署 腾讯云 Web Application Firewall (WAF) 并联动 CDN：
- 可在 WAF 中配置更精细的 IP 频率限制策略（如结合行为分析、验证码挑战）；
- 路径：WAF 控制台 → 网站防护 → 频率限制规则。
⚠️ 三、关键注意事项
| 项目 | 说明 |
|---|---|
| IP 识别准确性 | 确保 CDN 能获取真实客户端 IP（非X_X IP）。检查是否开启 X-Forwarded-For 透传，并在回源时保留该 Header。 |
| 阈值合理性 | 过低易误杀正常高频用户（如 API 调用、图片懒加载）；过高则防刷效果弱。建议先观察日志再调优。 |
| 地域/协议区分 | 频率限制是全局的，不支持按地区/HTTP 方法细分（除非用多规则组合）。 |
| 缓存影响 | 被限流后返回的错误页（如 429）通常不走缓存，直接由边缘节点响应，延迟较低。 |
| 日志排查 | 查看 访问日志 中的 status_code=429 记录，定位触发规则的 IP 及 URI。 |
📊 四、验证与优化建议
- 灰度测试：先用少量测试 IP 模拟高频请求，确认规则生效；
- 监控告警：在云监控中创建指标告警（如
4xx 错误率突增）； - 动态调整：结合业务高峰时段，临时放宽阈值（可通过脚本/API 批量更新规则）；
- 补充措施：对敏感接口（如登录、支付）建议叠加 图形验证码 或 令牌机制。
需要我提供：
- 频率限制的 API 调用示例（Tencent Cloud SDK）？
- 如何编写 Nginx 回源配置以正确透传 Client IP？
- 针对 WordPress/PHP 等常见应用的防刷最佳实践？
欢迎告诉我你的具体场景，我可进一步定制方案。
