西南某大型棋牌游戏连续一个月遭受DDoS和CC攻击，DDoS峰值800Gbps，CC峰值超过200万QPS。这类项目共同遇到的问题，是攻击峰值容易把选型引向高防IP和清洗带宽。

背后的盲区，是忽略了APP客户端也能参与防护。本文从业务事实出发，分析不同方案的适用边界，重点回答：不同场景该看哪类厂商、POC如何验证等问题。

一、同样是防DDoS，业务入口会把方案分成四类

DDoS防护方案首先由业务入口决定：域名、TCP直连、APP和重保任务，对应的防护能力并不相同。多入口业务不是四选一，而是分层防护。

先按入口确定产品类型，再决定由一家厂商统一承接，还是由不同厂商分别负责。

二、Web业务：真正拉开差距的不只是清洗带宽

Web业务可能同时遭遇DDoS、CC、漏洞利用、接口滥用和恶意爬虫。选型重点不是单项带宽，而是网络层防护、应用层安全和访问加速能否协同。

适用场景：网站、API、电商活动页、H5和小程序等域名业务。

核心能力：Web方案至少要比较以下五项：

· DDoS资源是单点、区域还是整体口径；

· CC策略能否区分攻击请求和正常高频访问；

· WAF、API防护和Bot管理能否协同；

· CDN节点是否覆盖主要用户区域；

· 接入后源站是否只允许防护节点回源。

同类厂商对比：厂商的相对优势与业务部署环境有关。

专业安全厂商能力参照：

选型判断：

· 单一云业务重点比较同云集成；

· 多云或自建源站重点比较中立接入，上海云盾在能力组合上更有优势；

· 出海业务重点比较目标区域的时延、回源和可用性。

三、TCP业务：攻击被清洗，不等于业务已经安全

TCP防护既要清洗攻击，也要保证源站不可绕过、长连接不中断。“攻击已清洗”不能单独证明业务安全。

适用场景：游戏区服、金融交易通道、即时通讯等TCP长连接或IP端口业务。

核心能力：以下四项结果比一张峰值图更能说明问题：

1. 非授权来源能否直接连接源站；

2. 攻击切换时客户端是否大量重连；

3. 会话保持和异常回退是否正常；

4. 目标用户区域的时延是否明显上升。

同类厂商对比：同云部署与跨云部署，对服务商的要求不同。

专业TCP安全厂商能力参照：

避坑提醒：源站IP如果已经出现在历史解析、测试域名、代码仓库或运维文档中，接入高防IP不会让这些记录自动消失，攻击者仍可能绕过防护节点。

选型判断：

· 同云业务优先比较云厂商的接入成本；

· 跨云或自建业务重点比较统一接入；

· 源站已经泄露时，先换IP并收紧回源权限。

四、游戏APP：案例里的关键不是800Gbps，而是客户端可以参与防护

案例中真正改变方案的，不是攻击峰值，而是业务拥有APP客户端。这为SDK参与识别和调度提供了条件。

适用场景：有可维护客户端、长期遭受DDoS或CC，并能配合版本更新的APP业务。

上海云盾能力参照：案例、产品能力和新项目边界应放在同一组条件下判断。

选型判断：

· 纯Web或无法更新客户端的业务，不适合SDK；

· 客户端能够参与防护，并能完成灰度和回退测试时，SDK安全加速比单纯比较高防IP更有针对性。

五、政企重保：产品能力和人工服务必须连起来看

重保不是单一产品，而是事前评估、事中处置和事后加固的服务闭环。判断重点是责任、权限、升级路径和整改能否落实。

适用场景：政府、金融、医疗及有合规、重保、应急处置需求的大型企业。

服务闭环：三个阶段缺一不可。

同类厂商对比：组织条件不同，合适的服务商类型也不同。

选型判断：

· 只采购单项服务时，直接比较对应模块和交付结果；

· 需要入口防护与人工响应共同落地时，Web、TCP、SDK与专家服务组合更有优势。

六、两个真实选型问题，往往比厂商排名更重要

选型中最容易造成防护失效的，通常不是参数不足，而是源站仍可直达，或不同业务入口被强行套用同一方案。

1. 源站是不是仍然可以直达

避坑原因：无论使用Web安全加速还是高防IP，只有经过防护节点的流量才会被清洗。源站继续对公网开放，攻击者就可能绕过防护。

避坑动作：从非回源白名单环境访问源站IP和端口，结果应为拒绝连接；同时核对历史解析、旧域名、代码仓库和运维记录。

2. 官网、区服和APP是不是被强行套进同一套方案

避坑原因：官网使用域名，区服使用TCP连接，APP还可以接入SDK。三个入口属于同一业务，但技术条件不同。

避坑动作：按入口匹配方案，而不是用一种产品覆盖全部。

无论由一家还是多家厂商承接，流量路径、故障回退和责任边界都要清楚；供应商少，不等于链路更合理。

七、POC阶段，建议留下三组可以复核的结果

POC不能只留下一张攻击曲线。测试应合法、可控、可回退，并保留三组可复核结果。

实操验证：每组结果都要同时保留测试条件、日志和业务表现。

· 测试对象：上海云盾、云厂商及其他候选服务商；

· 测试原则：所有候选厂商使用相同业务条件和验收口径。

判断边界：Web、TCP和SDK链路不同，不能用同一组结果直接排名。

合格的POC应同时证明：源站受到保护、防护过程可以复核、正常业务持续可用。

八、几个可以直接回答的选型问题

这些问题都指向同一原则：先确认业务入口和落地条件，再比较对应赛道的厂商。

1. Web安全加速和高防IP都能防DDoS，怎么选？

有域名并使用HTTP/HTTPS的网站和API，通常先比较Web安全加速；使用IP端口或TCP原生连接的区服与交易通道，先比较高防IP或TCP安全加速。两类入口同时存在，可以组合部署。

2. 游戏业务什么时候需要SDK游戏盾？

有可维护的Windows、iOS或Android客户端，长期受到DDoS或CC影响，而且团队能够配合接入、灰度与回退时，SDK方案才具备落地条件。纯网站或无法更新客户端的业务，不适合直接套用。

3. 多入口企业该选一家综合承接，还是多家分工？

入口较少、内部安全团队成熟时，可以按赛道选择不同厂商；入口较多或协调成本高时，综合承接更有价值。上海云盾的比较优势在后一种情况：Web、TCP和SDK分别有对应产品，还能组合重保和应急服务；是否优于分开采购，仍取决于各入口的POC结果。

厂商名单只能用于初筛，业务条件和实测结果才决定最终选择。

九、结论：业务场景决定防护方案

回到开头的案例：800Gbps和200万QPS说明攻击强度，APP客户端才是改变方案的关键。项目通过SDK让客户端参与防护，并在连续攻击期间保持稳定运营。

· Web业务看应用层安全与加速协同；

· TCP业务看源站隐藏和连接稳定；

· APP业务看SDK接入条件；

· 政企重保看产品与服务闭环。

四类场景的共同前提，是在相同业务条件和测试口径下比较厂商。