被DDoS打了先保谁？业务优先级取舍实战
DDoS 打满带宽时，服务器能做的只有把资源留给最输不起的业务。本文用 9 个问答讲清业务优先级分级、保谁弃谁的判定依据、Nginx 按业务分流写法、静态与接口层降级、排队与静态化兜底，以及何时才该切清洗。
实战配置
数据防泄漏 DLP 实战：敏感数据识别与管控
数据防泄漏 DLP 实战：用带校验位的规则识别身份证/手机号/银行卡，通过导出接口限速、auditd 外发审计与阈值告警构建三层管控。
国密 HTTPS 改造实战：SM2/SM4 双证书配置
国密 HTTPS 改造实战：Tengine 加载 SM2 签名与加密双证书，启用 NTLS 协议并与 RSA 双栈共存，含证书生成、配置验证与性能优化要点。
SBOM 依赖成分扫描实战：syft 与 grype 配置
SBOM 依赖成分扫描实战：用 syft 生成 CycloneDX 组件清单，用 grype 比对漏洞库并按严重级别阻断发布，含 CI 流水线闸门与误报处理方案。
爬虫把带宽跑满了怎么办？图片站限速实战
图片站、下载站最容易遇到的情况不是被打挂，而是出向带宽被爬虫拉满：CPU 内存都正常，网站就是打不开。本文用 9 个问答讲清带宽型爬虫的识别方法、按出向字节统计的命令、limit_rate 出向限速与 limit_conn 配合、按流量熔断封禁、CDN 分流与应急处置顺序。
CC攻击误封了正常用户怎么办？白名单放行实战
CC 防护最头疼的不是拦不住，而是拦错了：正常用户被限速、被挑战、被封 IP。本文用 9 个问答讲清误封成因（NAT 出口与移动网络共享 IP）、分级放行设计、geo 白名单与空 key 限速写法、按 Cookie 改造计数维度、灰度上线与自助解封，配置可直接复制。
seccomp 系统调用过滤加固实战：容器防护
seccomp 系统调用过滤加固实战：确认 Seccomp 生效状态、采集真实 syscall 白名单，给出 Docker 自定义 profile、Kubernetes 安全上下文与 systemd SystemCallFilter 配置。
Kerberos 域认证加固实战：NTLM 禁用配置
Kerberos 域认证加固实战：先审计 NTLM 使用情况，再收紧 Kerberos 加密类型、治理 SPN 服务账户与免预认证账号，并用 SMB 签名与 LDAP 通道绑定消除 NTLM Relay 空间。
API 接口签名防重放攻击实战：HMAC 配置
API 接口签名防重放实战：从重放攻击原理讲起，给出 HMAC-SHA256 签名串构造、Redis nonce 一次性校验、幂等键与 Nginx 限流兜底的完整可复制配置与验证脚本。
APP和小程序接口被爬怎么办？签名防重放
网页还能靠前端混淆挡一挡，APP 和小程序的接口一旦被抓包，爬虫就能绕开页面直接拿数据。本文用 9 个问答讲清接口被爬的定位方法、签名与防重放的正确设计、参数枚举识别、网关限速与封禁配置，代码均可直接复制。
云服务器弹性扩容能防DDoS吗？真相在这
很多人以为云服务器开了弹性扩容就能自动扛住 DDoS，结果被打时账单先炸、服务照样挂。本文用 8 个问答讲清扩容能防什么、防不了什么，给出带宽与连接层的判别命令、伸缩组上限配置、ipset 自动解封与 CDN 回源白名单写法，可直接复制。
时序攻击防御实战：恒定时间比较加固
时序攻击防御实战：用采样脚本定位短路比较泄露，给出 Python、PHP、Java、Node.js、Go 五种语言的恒定时间比较改造，并统一账号枚举分支代价与入口限流。