千里达票务系统的云端安全实践：WAF 防护与 DCDN 动静态加速
票务系统天然是黑产盯上的目标：黄牛脚本刷票、CC 攻击打瘫接口、SQL 注入窃取数据。千里达票务系统通过阿里云 WAF（Web应用防火墙）与 DCDN（全站加速）构建了"安全 + 加速"的双层防线，本文分享实践方案与踩坑经验。
一、安全威胁分析
- 黄牛刷票：脚本高频调用下单接口，抢占库存；
- CC/DDOS 攻击：攻击者用大量请求打爆应用层，导致正常游客无法购票；
- 注入与扫描：针对支付回调、查询接口的 SQL 注入、暴力破解尝试。
二、方案设计
| 防线 | 方案 |
|---|---|
| 入口加速 | DCDN 全站加速，静态资源缓存 + 动态请求回源加速 |
| Web 防护 | WAF 拦截 SQL 注入、XSS、命令注入、恶意爬虫 |
| 高频防护 | WAF CC 防护 + 业务层限流 + 验证码 |
| 传输安全 | 全链路 HTTPS，证书托管与自动续期 |
三、关键实现
3.1 WAF 防护策略
- 开启托管规则（SQL 注入、XSS、文件包含等 OWASP 十大风险自动防护）；
- 自定义CC 防护规则：单 IP 对下单接口 5 秒内超过 10 次即触发人机验证；
- 开启Bot 管理：识别并拦截脚本流量，放行正常浏览器特征；
- 登录/下单接口开启滑块验证，从源头拦截批量脚本。
3.2 DCDN 配置
域名接入DCDN → 静态资源缓存规则 → 动态API回源加速 → HTTPS证书托管
静态与动态分离：图片/JS/CSS 走边缘缓存，下单/查询动态请求走 DCDN 高速回源链路。
3.3 源站保护
- 源站 IP 不对外暴露，仅允许 WAF/DCDN 回源 IP 访问；
- 安全组白名单 + 云防火墙双重管控。
四、踩坑复盘
- 误拦截正常用户：CC 阈值设太紧，高峰期正常游客被触发验证码。解决：阈值基于真实压测流量设定 + 白名单放行合作渠道 IP；
- 源站暴露：攻击者扫描到源站 IP 直接绕过 WAF。解决：源站安全组只放行回源 IP + 关闭非必要端口；
- 证书过期事故：证书到期未续，线上 HTTPS 全部报错。解决：证书托管 + 提前 30 天提醒自动续期；
- 规则冲突：WAF 与业务自定义拦截同时生效，部分正常请求被误杀。解决：WAF 规则分级管理 + 上线前联调测试。
五、效果与总结
接入 WAF + DCDN 后，千里达票务系统成功拦截节假日期间的批量刷票与 CC 攻击，正常购票链路零中断，同时静态资源加载速度提升 50% 以上。对票务这类"高价值 + 高对抗"业务，安全不是上线后补的功课，而是架构的一部分。阿里云的托管安全能力，让团队不需要自建安全团队也能守住防线。
