DDoS清洗阈值设多少合适？防护等级配置实战
清洗阈值设太低会误洗正常流量，设太高会被打穿。本文用 9 个问答讲清业务峰值怎么测、告警与清洗阈值分几档、pps 与连接数阈值为什么必须另配、防护等级三档怎么选，以及怎么验证阈值真的生效。
CDN
被DDoS打了先保谁？业务优先级取舍实战
DDoS 打满带宽时，服务器能做的只有把资源留给最输不起的业务。本文用 9 个问答讲清业务优先级分级、保谁弃谁的判定依据、Nginx 按业务分流写法、静态与接口层降级、排队与静态化兜底，以及何时才该切清洗。
云服务器弹性扩容能防DDoS吗？真相在这
很多人以为云服务器开了弹性扩容就能自动扛住 DDoS，结果被打时账单先炸、服务照样挂。本文用 8 个问答讲清扩容能防什么、防不了什么，给出带宽与连接层的判别命令、伸缩组上限配置、ipset 自动解封与 CDN 回源白名单写法，可直接复制。
Web 缓存欺骗防御实战：Nginx 缓存规则加固
Web 缓存欺骗防御实战：从缓存键与后端路由脱节原理讲起，给出 Nginx map 判定、proxy_no_cache 成对配置、动态后缀拦截与 CDN 规则收紧的完整可复制方案。
缓存键注入：Nginx 缓存键拼接缺陷可致存储型 XSS 与 CPDoS
YesWeHack 研究者 Alex Brumen 公开「缓存键注入」攻击手法：当 proxy_cache_key 把协议、主机、URI 与请求头直接无分隔符拼接时，不同请求可生成相同缓存键，进而绕过访问控制、读取缓存敏感页面、触发 CPDoS 或借协议混淆投毒形成存储型 XSS。
被DDoS打进黑洞了怎么办？解封排查实战
网站突然打不开，SSH 也连不上、ping 不通，traceroute 到某一跳之后全是星号——这不是服务器挂了，是 IP 被打进了黑洞。本文用 9 个问答讲清黑洞的触发机制、怎么在几分钟内确认、解封工单要准备什么证据，以及解封后怎么避免反复被打进去。
SRI 子资源完整性防御实战：CDN 脚本篡改拦截配置
SRI 子资源完整性防御实战：从 sha384 哈希生成、构建期自动注入 integrity、CSP require-sri-for 强制到篡改模拟验证，完整给出第三方 CDN 脚本被投毒后的自动拦截方案与故障排查。
CC攻击怎么监控？缓存命中率和回源率怎么看
CC 攻击最难的不是拦不住，而是打了半天你还没发现。本文用 9 个问答讲清怎么用缓存命中率、回源率、PV/UV 比在几分钟内判断出 CC 攻击，怎么区分「被打了」和「流量真的涨了」，并给出可直接复制的 Nginx 日志格式、统计命令与 ipset 封禁规则。
四层DDoS和七层DDoS有什么区别？防护怎么选
四层 DDoS 拼流量，七层 DDoS 拼请求数，两者的判定依据、防护位置和误伤风险完全不同。本文用 9 个问答讲清怎么从现象上判断自己被打的是哪一层，高防 IP、CDN、WAF、Nginx、iptables 各环节该怎么分工，并给出可直接复制的内核参数与限速配置。
爬虫把CDN流量刷爆了怎么办？回源防护实战
CDN 本来是用来省流量的，被爬虫刷一波反而账单暴涨，问题多半出在回源。本文用 9 个问答讲清爬虫刷流量的原理、哪些行为最烧钱、怎么从 Nginx 日志定位，缓存键归一化与白名单限速怎么配，以及已经产生高额账单后怎么止血。
BGP高防牵引和DNS切换有什么区别？怎么选
同样是把流量切到高防节点，BGP 牵引和 DNS 切换的生效速度、兼容性和成本完全不同。本文用 9 个问答讲清 BGP 路由牵引的原理、和 DNS 切换、Anycast 的差别，怎么验证牵引是否生效，牵引后真实客户端 IP 与 HTTPS 证书怎么处理。
IPv6能防DDoS吗？开了IPv6要补哪些防护
很多人以为上了 IPv6 就自带抗 DDoS 能力，其实恰恰相反。本文用 9 个问答讲清 AAAA 记录泄露源站这个最大的坑、IPv6 独有的攻击面（分片、扩展头、ICMPv6、/64 换址绕过限频）、高防不支持 IPv6 时的处置办法，以及 ip6tables 与 Nginx 的加固配置。