核心要点 先看高峰是不是只集中在某些接口，先把“早期信号”放到最前面看，客户最先感受到的通常不是技术名词，而是访问是否稳定、页面是否正常、业务有没有被打断。 - 接口限流要跟业务节奏配合，不然容易把正常峰值也挡住 - 流量、连接和上游清洗要一起看，单看首页是否打开不够 - 回源保护做好后，源站压力通常会更可控

关键方法 应急切换前最好先验证备用路径，减少切换时的未知风险。把攻击窗口记录下来，后续识别会快很多。围绕“早期信号”处理时，不要急着一次性改太多，先把范围收窄，再判断是入口问题、配置问题还是残留问题。 如果现场还没有完全恢复，先保住回滚点、日志和备份，再继续下一步，这样后面复盘会更清楚，也不容易误伤正常业务。

注意事项 黑白名单要定期复核。不要只看单页能否打开。别只看短时恢复，持续稳定更重要。