把网站防护拆成可管理的层次

不同能力保护不同边界

网络层防护关注连接与流量特征，WAF 检查应用请求，TLS 保护传输，身份认证决定用户是否有权限。它们需要配合，也各有适用范围。

从业务上下文定义规则

登录、支付、搜索与静态文件的正常访问模式不同。按路径和行为配置规则，逐步验证限速、质询及拦截对真实用户的影响。

• 梳理可信回调、监控和第三方集成
• 避免把必要的机器请求全部视作恶意机器人
• 保留可追溯的规则名称与变更记录

源站仍然需要保护

应用补丁、访问权限、密钥管理和源站入口限制不能仅靠边缘规则替代。确认是否存在绕过交付入口的公开路径，并明确各环节负责人。

在事件中保留证据和回退能力

记录时间、请求特征与配置变化，先确定影响范围，再用可回退的调整缓解问题。分享日志前移除凭据、会话标识和不必要的个人信息。