流量防护BUG？

Question

攻击者将user_Agent改为：Mozilla/5.0+(compatible;+Baiduspider/2.0;++http://www.baidu.com/search/s...)
将Referer改为：http://www.baidu.com
那么就会被识别为百度蜘蛛。但其实是CC攻击。
同等，替换为其他的搜索引擎referer以及其他搜索引擎的user_Agent,那么也会被是被为搜索引擎。
那么这么流量防护就起不了作用。

Answer 1

对的，除识别拦截的外，也可以以频率设置拦截，也就高发异常这些。

user_Agent、Referer这些都是可以伪造，可能是会存在恶意修改的情况。

Answer 2

即便是百度爬虫也是有频率的也绝无可能一秒几千几百次请求的，给这类ua的限流稍大于其他请求就行了。

而且，大的爬虫一般会公布ip。比如
https://www.zhihu.com/questio...
https://www.homedt.net/275798...

验证比如访问：
https://ip138.com/iplookup.as...
会看到

给这些ip加白即可。

ps: 可以买ip数据库或者一些公开的ip数据库提前加白名单即可。