昨天半夜，网站我的非法访问服务器报警了。日志里刷出一排403，解决全是网站来自同一个IP的暴力破解尝试，每隔三秒换一次密码组合。非法访问这不是解决第一次了，网站上线半年，网站被扫目录、非法访问撞库、解决薅羊毛，网站各种花式骚扰就没停过。非法访问今天不聊理论，解决就说遇到非法访问，网站你手上能用的非法访问三板斧。

先分清类型。解决非法访问分两种：一种是机器干的，扫漏洞、试密码、爬数据；另一种是人干的，比如盗用他人账号、绕过付费墙、抓接口数据。机器行为有规律，时间戳密集、UA固定、请求路径诡异；人的行为更难防，但通常有目的性，比如盯着某个接口反复调。判断错了，拦截策略就废了。

处理机器流量，最直接的是封IP。但别傻乎乎封单个IP，现在攻击者用代理池，封一个换一个。我见过一个案例，对方用两千多个IP轮询一个登录接口，单IP频率极低，根本触发不了阈值。这时候得看行为特征，比如同一时间窗口内，所有IP访问的路径序列高度相似，或者提交的POST参数结构一致——这就能聚类识别。写个简单脚本，把请求日志里的路径、参数、UA组合hash一下，相同hash超过20次就临时拉黑，效果立竿见影。

人搞的非法访问，技术手段反而次要。去年我帮朋友排查一个会员站，发现有人用脚本批量调他的VIP视频接口，每次只取一小段，绕过分片下载限制。服务器负载不高，但流量费用爆了。查日志发现，正常用户播放视频会先请求一个token接口，再拿token去拉流。那个脚本直接跳过token，用固定的签名参数反复请求。解法很简单——给token加个时间戳校验，5分钟过期，过期就拒绝。三天后攻击者放弃了，因为每次都得逆向新签名。

还有个容易漏的地方——你网站自己的功能被滥用。比如搜索接口，正常人一秒搜一次，有人写个循环一秒搜十次，把你的数据库拖下来。这不算黑客攻击，但比攻击更烦。我处理过一个案例，某博客的搜索功能没限流，被人用字典批量查询，把全站文章标题都扒走了。加个滑动窗口限流，单IP每分钟最多30次搜索，超了就弹验证码。别用固定次数，用户手速快会误伤，滑动窗口平滑很多。

工具方面，别迷信什么高价WAF。开源方案够用：Nginx的limit_req模块做基础限流，ModSecurity跑核心规则集，再配合Fail2ban盯登录失败日志。我自己搭的防护栈，成本为零，扛住了每天几十万次的扫描。真正的瓶颈在你怎么解读日志——把access log丢进ELK，按“路径+状态码+响应时间”聚合，异常自然浮出来。

最后说个反直觉的点：有些非法访问是你自己招来的。比如robots.txt里写了Disallow:/admin，等于告诉全世界这有个后台。还有默认端口、默认路径、默认密码，都是活靶子。把后台挪到随机路径，端口换成非标准，用密钥登录代替密码——这些土办法，比任何高级防护都省心。

网站被非法访问，别慌。先看日志，分清是人还是机器，再按行为特征处理。别指望一套方案管永久，攻击手法天天变，你得隔三差五翻翻日志，看看有没有新花样。就像我，现在每天睡前扫一眼错误码分布，比看新闻还准时。