核心要点 - 复盘流量峰值、持续时间和主要入口 - 看日志里最活跃的来源、页面和参数 - 把应急动作整理成长期规则

关键方法 攻击结束后，不要只关注“已经恢复了没有”，更要回头看它为什么能打进来、为什么能持续这么久。把流量峰值、带宽占用、请求路径和异常参数整理出来，再结合站点的日志和告警记录，就能知道哪些页面最脆弱、哪些规则最该补。对普通客户来说，这一步相当于把一次攻击变成一次免费体检。

注意事项 复盘时不要只看结果，要看过程。哪些规则起了作用，哪些页面误伤了正常用户，哪些接口没有保护到位，都要记录下来。这样后续不管是做 DDoS 防护，还是做 CC 限流，都会更有针对性。