短视频平台面临的DDoS攻击早已不是单纯的流量消耗战，而是混合了CC攻击、UDP反射放大、TCP SYN Flood以及针对API接口的精确打击。很多团队一上来就堆高防IP和清洗设备，结果钱花了，高峰时段依然卡顿、掉线、转码队列积压。问题往往不在带宽不够，而在架构上把“接入层”和“业务层”混在一起扛。短视频的核心特征是“短连接、高并发、大流量回源”，攻击者只要打穿一个视频播放接口或用户登录接口，整条服务链都会受影响。所以防护的第一原则是：把静态资源、动态API、视频流分发彻底拆开，攻击面越小，清洗越精准。
先做资产与流量基线梳理
没有基线，抗DDoS就是盲打。你需要先明确正常业务下每个核心域名的QPS、带宽峰值、连接数、新建连接速率以及用户地域分布。短视频业务有明显的波峰波谷，晚8点到11点是正常高峰，如果凌晨3点突然出现大量来自境外的UDP 53端口请求，那基本可以判定是反射攻击。建议用Prometheus加Grafana做实时监控，对每一条回源链路单独打点。特别要关注“回源带宽”和“边缘命中率”，很多攻击打的是边缘节点，但回源请求被放大后直接把源站压垮。基线数据要每周更新，因为短视频的流量增长非常快，用一个月前的阈值做清洗策略会误杀正常用户。
把视频流与网页/API彻底分离
短视频网站最大的错误就是把视频文件、封面图、用户头像、API接口全放在同一个域名下。攻击者只要对这个域名发起混合攻击，你很难区分哪些是正常播放请求，哪些是恶意请求。正确做法是至少拆成三个体系：静态资源走CDN专属域名，视频流走独立的点播加速域名，API接口走另一个域名并做严格鉴权。视频流域名可以完全关闭除GET外的所有HTTP方法，并限制单个IP的并发连接数。API域名则需要启用全站HTTPS、签名校验和防重放机制。这样即使视频流域名被打，用户已经缓存的视频还能继续播放，登录、评论、点赞等核心交互不受影响。
边缘层部署多层限速与连接控制
短视频的CC攻击通常表现为大量请求同一个播放地址或搜索接口，每个请求都带不同的随机参数，目的是让缓存失效并回源。边缘节点要配置基于URI的限速，例如对/mp4/路径下的请求，单IP每秒不超过20个；对/api/search/路径，单IP每秒不超过5个。限速不是一刀切，要结合用户标识和设备指纹做分级。对于未登录用户，限速阈值要更低；对于登录且有正常历史行为的用户，可以适当放宽。连接控制方面，要在边缘层限制单IP的并发TCP连接数，超过阈值直接RST，避免攻击者用少量IP占满连接表。Nginx和OpenResty都能实现这些策略，关键是规则要动态下发，不能每次调整都重启服务。
善用anycast与多线路调度
单点高防机房再大也有上限，而且短视频用户遍布全国，跨网访问本身就会增加延迟。比较务实的做法是采用anycast技术，把同一个VIP同时宣告到多个清洗节点。攻击流量会被就近的清洗节点吸收，正常用户则自动路由到最近的边缘节点。国内很多云厂商提供anycast高防方案，但要注意的是，anycast对TCP长连接不友好，短视频的播放请求大多是短连接，影响不大。对于直播推流这种长连接场景，建议单独走专线或固定线路，不要混在anycast里。多线路调度还要考虑DNS解析的TTL，攻击期间把TTL调短到60秒，方便快速切换。
API接口的精细化防护
攻击者越来越喜欢打API，因为API的防护往往比静态资源弱，而且打挂API可以直接让App无法登录、无法刷新信息流。短视频API的防护核心是“鉴权前置”和“行为分析”。每个API请求必须携带时间戳、随机数和签名，服务端校验时间戳误差超过30秒直接拒绝，防止重放攻击。对于高频接口，比如信息流刷新、评论加载，要引入设备指纹和用户行为序列分析。如果一个设备在1分钟内请求了500次不同视频的详情接口，这明显不是正常人类行为，直接封禁设备ID。行为分析可以放在边缘层做轻量判断，复杂规则回源到风控引擎处理。
视频文件防直链与防盗刷
DDoS攻击中有一类专门针对视频文件的“盗刷型攻击”，攻击者通过抓包拿到视频直链后，用大量肉鸡反复下载同一个大文件，消耗带宽。防护手段包括：视频地址加签名和过期时间，签名与用户IP、设备ID绑定，过期时间控制在2小时以内；边缘节点对同一URL的重复请求做去重，同一个IP在短时间内请求同一个视频分段，只回源一次；对视频文件做分片加密，即使拿到直链也无法直接播放。另外，可以在播放器端加入“令牌刷新”机制，播放过程中定期向服务端申请新的播放令牌，令牌失效后旧链接立即作废。
源站隐藏与回源保护
源站IP一旦暴露，前面所有防护都可能被绕过。短视频源站要严格隐藏，只允许CDN和高防节点的回源IP访问，其他IP一律拒绝。源站防火墙要配置白名单，定期更新CDN厂商的回源网段。如果业务部署在云上，源站安全组只开放80和443端口给指定的回源IP段，SSH管理端口单独走跳板机。回源链路上还要做“回源限速”，防止攻击者通过边缘节点放大回源请求。比如一个边缘节点正常情况下每秒回源100个请求，突然变成每秒5000个，说明该节点可能被攻击者利用，要立即切换该节点的回源线路或直接下线。
UDP反射攻击的针对性处理
短视频平台如果提供直播功能，很可能开放了RTMP、WebRTC等基于UDP的协议，这些协议容易被利用做反射放大。常见的反射源包括NTP、DNS、Memcached、SSDP等，攻击者伪造源IP向这些服务发送小请求，服务端返回大响应打到目标。防护UDP反射攻击，首先要在网络边界封禁所有不需要的UDP端口，只保留必要的协议端口。对于WebRTC，可以使用TURN over TCP来避免UDP直连。如果必须使用UDP，要在边缘路由器上做源IP反向验证，丢弃所有源IP与路由表不匹配的包。同时，与上游运营商建立联动机制，当检测到反射攻击特征时，由运营商在骨干网上丢弃特定端口的流量。
自动化清洗与智能调度
人工响应DDoS攻击的速度太慢，从发现到处理往往需要几分钟甚至十几分钟，这段时间业务已经受损。短视频平台需要建立自动化清洗流程：监控系统检测到某个域名的流量或连接数超过基线阈值，自动触发清洗策略，将流量牵引到高防节点，同时通知运维人员。清洗策略要分等级，一级清洗只做基础限速，二级清洗启用验证码和JS挑战，三级清洗直接封禁可疑IP段。智能调度方面，可以根据攻击类型自动切换防护模式，比如检测到SYN Flood就启用SYN Cookie，检测到CC攻击就启用行为验证。整个流程要形成闭环，攻击结束后自动恢复正常调度，避免长时间运行在高防模式下增加成本。
业务层面的降级与容灾
再强的防护也可能被突破，所以业务层面必须做好降级方案。短视频的核心功能是播放，评论、点赞、推荐算法都是次要的。当攻击流量超过防护能力时，优先保证视频播放功能可用，暂时关闭评论、弹幕、搜索等非核心功能。可以在App端做功能开关，服务端下发配置，攻击期间自动隐藏非核心入口。视频播放本身也要做多码率降级，攻击期间只提供低码率视频，减少带宽压力。容灾方面，源站要做多活部署，至少两个可用区，数据实时同步。一个可用区被打挂，另一个可用区能立即接管，切换时间控制在30秒以内。
日志分析与攻击溯源
每次攻击结束后，都要对日志做深度分析，找出攻击特征和防护漏洞。重点分析攻击流量的来源IP、请求路径、User-Agent、请求频率、包大小分布等。很多攻击者会复用同一批肉鸡，通过分析可以建立黑名单库，下次攻击时直接封禁。攻击溯源不是为了找到攻击者本人，而是为了了解攻击手法和动机。比如竞争对手攻击通常会选择业务高峰时段，攻击路径集中在核心接口；勒索攻击则会在攻击前发送威胁邮件。日志分析还要关注“慢速攻击”，这类攻击每个请求都很慢，但长时间占用连接资源，传统限速很难发现，需要结合连接时长和请求间隔做检测。
持续优化与红蓝对抗
抗DDoS不是一次性工程，攻击手法在变，业务架构也在变。建议每季度做一次红蓝对抗演练，红队模拟各种攻击手法，蓝队负责检测和防御。演练中要测试清洗设备的实际效果，很多设备在实验室测试很好，真实流量下会出现误杀和漏杀。还要测试DNS、CDN、源站各环节的联动效率，找出最薄弱的环节。短视频业务迭代快，新功能上线时往往会引入新的攻击面，比如新的上传接口、新的互动玩法，这些都要同步更新防护策略。把防护能力做成可量化、可考核的指标，比如攻击发现时间、清洗生效时间、业务可用率等，持续优化。
真正有效的短视频抗DDoS方案，不是买多少G的高防带宽，而是把架构拆清楚、把基线做扎实、把自动化流程跑通。攻击者永远能找到新的打法，但只要你把攻击面控制住、把核心链路保护住、把降级方案准备好，就能在绝大多数攻击中保持业务稳定。短视频行业竞争激烈，一次严重的DDoS攻击就可能造成用户流失，所以防护投入要前置，不能等被打穿了再补救。
