拿到《苍穹DDOS压力测试页端源码》压缩包时，苍穹测试我第一反应是压力页端源码看目录结构。根目录下只有三个文件夹：`/static`、苍穹测试`/api`、压力页端源码`/core`，苍穹测试外加一个`index.html`。压力页端源码没有README，苍穹测试没有安装说明。压力页端源码打开`index.html`，苍穹测试里面嵌了一段混淆过的压力页端源码JavaScript，核心逻辑全在`/core`里。苍穹测试这种布局很典型——前端做展示和参数下发，压力页端源码后端负责发包调度。苍穹测试

源码里最关键的压力页端源码模块是`/core/scheduler.js`。它用WebSocket跟服务端通信，苍穹测试每200毫秒拉一次任务队列。任务对象长这样：`{ target: "1.2.3.4:80", method: "GET", threads: 50, duration: 60}`。注意，这里的`threads`不是真开50个线程，而是控制并发请求数。浏览器环境根本开不了那么多线程，所以它用`Promise.all`批量发起fetch请求，每个请求带一个随机User-Agent和Referer。我数了一下，内置的UA列表有47个，从Chrome 89到Edge 102都有，还有几个老掉牙的IE11。

压力测试页端有个绕不开的限制：浏览器同源策略。源码里用了一个取巧的办法——通过`/api/proxy`做反向代理。所有请求先发到自己的服务器，再由服务器转发到目标。`/api/proxy`的代码在`server.js`里，用的是Node的`http`模块，没有用Express。转发时改了`X-Forwarded-For`头，还随机丢弃了部分响应体，只保留状态码。这样做能减少带宽占用，但代理服务器本身会成为瓶颈。我实测了一下，单台4核8G的机器，代理模式下QPS最多到3200左右，再高就丢包。

源码里有个细节值得说：它在`/static/js/worker.js`里用了SharedArrayBuffer做计数器。所有并发请求共享一个`Int32Array`，每完成一个请求就原子加一。这个设计比用localStorage或者postMessage高效得多。但SharedArrayBuffer需要跨域隔离头，也就是`Cross-Origin-Opener-Policy: same-origin`和`Cross-Origin-Embedder-Policy: require-corp`。很多CDN默认不带这两个头，所以部署时经常报错。源码作者在`/api/config`里留了个开关，叫`useSAB`，默认是false。改成true之前，你得先确认服务器支持。

发包逻辑在`/core/flood.js`。它支持三种模式：`GET`、`POST`和`SLOWLORIS`。SLOWLORIS模式最有意思——它不追求高并发，而是每个连接只发一个字节，然后保持长连接。源码里用`setInterval`每30秒发一个`\r\n`，防止连接被中间设备断开。这种模式对Apache和Nginx的默认配置很有效，但对Cloudflare基本没用，因为CF会在75秒后强制断连。

说个实际部署的坑。源码默认用`http://`协议，但现代浏览器对混合内容限制很严。如果你的测试页是`https://`，那所有`http://`的请求都会被拦截。解决办法是在`/api/proxy`里加一个`upgrade-insecure-requests`头，或者干脆把测试页也部署成http。我试过用自签名证书跑https，结果Chrome直接报`ERR_CERT_AUTHORITY_INVALID`，所有fetch全挂。后来换成`http://localhost`才跑通。

最后看一眼`/core/stats.js`。它每5秒统计一次成功率、平均延迟和错误码分布。错误码里`429`和`503`最多，说明目标服务器在限流。源码里有个隐藏参数叫`retryOn429`，默认false。改成true后，遇到429会等2秒再重试，但重试次数上限是3次。这个设计挺克制，不像有些压测工具会无限重试，把目标彻底打挂。

整个源码不到2000行，压缩后只有86KB。没有依赖任何前端框架，连jQuery都没用。作者显然是个老派程序员，能用原生API绝不上库。不过代码里有些地方写得比较糙，比如`/api/proxy`没有做参数校验，直接拿`req.query.url`去请求，存在SSRF风险。自己搭着玩没问题，别往公网放。