CC防护中的“基于认证前后请求比例变化检测”，核心思路是监控用户在登录（认证）前后，向网站发起请求的频率或比例是否出现异常突变。正常的用户行为模式通常是：登录前进行有限的浏览（如查看首页、产品列表），登录后活动增加（如访问个人中心、提交订单）。而CC攻击者往往在登录前就发起海量请求试探，或登录后行为与登录前无显著差异。通过实时计算和比对这两个阶段的请求比例，安全系统能精准识别出非人类或恶意自动化流量，从而在攻击造成实质性损害前进行拦截。
一、 为什么传统的频率阈值检测会失效？
传统的CC防护主要依赖单一请求频率阈值，例如限定某个IP每秒最多请求20次。这种方法在早期有效，但现在面临严峻挑战。攻击者普遍采用“慢速攻击”和“分布式低频攻击”，将海量攻击流量分散到成千上万个代理IP或僵尸主机上，每个IP的请求频率都低至正常用户水平，完美绕过基于IP的速率限制。此外，针对API接口的精准攻击，其请求路径和参数与正常业务调用完全一致，仅凭请求特征难以区分。此时，引入“认证状态”这一强用户身份和行为上下文，就成为了破局的关键。认证行为是一个天然的分水岭，能有效区分访客与真实用户，为行为分析提供了锚点。
二、 认证前后请求比例变化检测的核心工作原理
该检测机制并非简单地比较登录前后的请求“数量”，而是分析其“比例关系”和“行为模式”的变化。系统通常会在用户会话（Session）层面进行跟踪，关键步骤如下：
首先，数据采集与会话关联。系统为每个未认证的访问者分配一个临时会话ID，追踪其所有请求，记录请求的路径（URL）、时间戳、IP等信息。当该会话发生登录事件（成功通过认证）后，会话ID保持不变或进行关联，进入“已认证”状态。
其次，定义与计算关键比例。核心是建立两个时间窗口或请求阶段的分析模型：
1. 认证前阶段：从会话首次请求开始，到成功认证之前的所有请求。
2. 认证后阶段：从成功认证开始，往后延续一个观察周期（如5分钟）内的所有请求。
接着，计算一系列行为指标：
// 示例性计算逻辑（非真实代码） // 指标1：关键业务请求比例变化 preAuth_CriticalRatio = (认证前访问 /cart, /submit 等关键路径的请求数) / 认证前总请求数 postAuth_CriticalRatio = (认证后访问关键路径的请求数) / 认证后总请求数 changeRate_Critical = postAuth_CriticalRatio / preAuth_CriticalRatio // 指标2：静态资源请求比例变化 preAuth_StaticRatio = (认证前访问 .js, .css, .jpg 等的请求数) / 认证前总请求数 postAuth_StaticRatio = (认证后访问静态资源的请求数) / 认证后总请求数 // 指标3：请求频率变化 preAuth_Freq = 认证前总请求数 / 认证前会话时长 postAuth_Freq = 认证后总请求数 / 认证后观察周期时长
最后，异常判定与处置。系统会为上述指标的变化率（changeRate）设定动态或静态的阈值规则。例如：规则一，如果认证后关键业务请求比例相比认证前激增500%以上（可能为登录后疯狂提交表单）；规则二，如果认证前后请求频率和静态资源比例几乎无变化（可能为自动化脚本匀速爬取）；规则三，认证后总请求数异常低于认证前（不符合正常用户行为逻辑）。一旦触发规则，系统可对该会话进行二次验证（如弹出验证码）、限制其后续请求速率或直接阻断。
三、 技术实现的关键细节与挑战
实现这一检测方案，需要克服几个工程和技术难点。
会话状态一致性管理：在分布式集群环境中，必须确保用户会话数据（特别是认证状态）在各个防护节点间实时同步。这通常需要借助高性能的分布式缓存（如Redis）来存储会话轨迹，确保任意节点处理的请求都能获取到完整的、最新的会话上下文。
基线学习与自适应阈值：固定的阈值容易误伤或漏过。先进的系统会引入机器学习，为不同用户群体（如新用户、老用户）、不同时间（如工作日、促销日）、不同业务模块建立动态的行为基线。例如，在购物车页面，正常用户登录后访问比例本就很高，系统需要学习这个正常的高比例，只有当实际值显著偏离学习到的基线时才告警。
对抗绕过手段：攻击者可能会尝试“伪造”认证行为。因此，系统必须确保认证事件来自严格的后台业务验证，而非简单的参数传递。同时，需要将登录请求本身纳入分析，防止攻击者通过高频撞库登录来干扰比例计算。此外，对于“认证后立即注销再认证”的洗白行为，可以通过关联设备指纹、IP信誉库等进行综合判断。
四、 与其他防护策略的协同增效
基于认证前后比例的检测并非银弹，它需要融入纵深防御体系才能发挥最大价值。
与人机识别（验证码/无感验证）结合：在检测到异常比例但置信度不足时，优先触发验证码挑战。对于通过验证的会话，即使比例异常也可适当放宽限制，减少对真实用户的干扰。
与IP/设备信誉库结合：如果触发异常的会话来自已知的代理IP池或恶意设备指纹，可以直接提升处置等级，进行阻断。反之，来自高信誉来源的会话可以进入更长的观察期。
与业务规则白名单结合：对于已知的、合法的自动化流量（如搜索引擎爬虫、合作方API调用），应通过特定的User-Agent、IP白名单或API密钥机制进行放行，避免其被误判。
与全局频率限制结合：本检测专注于单会话微观行为，仍需配合基于IP、用户ID、全局接口的宏观频率限制，形成从点到面的立体防护网。
五、 实际部署建议与效果评估
在部署此功能时，建议采取“观察-学习-防护”三步走策略。
第一阶段（观察期）：将检测模式设置为“仅记录日志，不进行任何拦截”。收集1-2周的全量数据，分析认证前后请求比例的自然分布，验证检测规则的合理性，并校准阈值。
第二阶段（学习期）：开启检测，但处置动作设置为“仅记录+告警”。观察告警命中情况，人工复核告警会话，进一步剔除误报（如网络爬虫、特殊业务流），优化模型和规则。
第三阶段（防护期）：正式启用拦截动作。初期建议采用温和策略，如“限速”或“短期会话封锁”，并配合清晰的用户提示。同时，建立关键业务监控仪表盘，核心指标包括：检测规则触发次数、误拦截率、对核心业务接口成功请求量的影响、整体CC攻击成功率的下降幅度。
一个成功的部署，应能在不明显增加正常用户操作负担的前提下，将针对登录后核心业务接口（如支付、抽奖、抢购）的CC攻击成功率降低90%以上，并能有效识别出传统基于IP的频率防护完全无法发现的低频、慢速、分布式CC攻击。
总结来说，基于认证前后请求比例变化的CC防护，是一种从“用户行为连续性”角度切入的智能检测方案。它跳出了孤立分析单个请求的局限，通过关联用户身份状态前后的行为差异，极大地提升了识别自动化恶意流量的精准度。尽管实施复杂度较高，但在当前日益隐蔽和复杂的CC攻击面前，它已成为构建下一代Web应用防火墙（WAF）和业务安全风控体系中不可或缺的核心能力之一。
