CDN挡住了一次大流量攻击，并不代表网站已经安全。攻击者可能转向低频API探测、缓存规则、第三方脚本或控制台凭证：流量图看起来平静，订单、账号和内容分发链路却可能正在被利用。2026年的风险更像组合拳，而不是单一峰值。
下面六类威胁并非相互独立。泄露的API令牌可以用于篡改缓存，恶意Bot可以为账号接管提供密码数据，DDoS又能制造噪声掩护入侵。防护重点应从“识别攻击名称”转向“看清攻击链和业务影响”。
DDoS：从带宽洪泛到多层混合
网络层洪泛仍然常见，但应用层攻击更善于寻找昂贵接口。攻击者混合UDP洪泛、TLS握手和动态查询，让不同防护设备同时承压。只设置一个总带宽阈值，无法识别某个接口的异常成本。
防御要同时建立网络、连接、请求和业务四层基线，并检查源站是否仅接受CDN回源。攻击期间应优先保护登录、支付和状态查询，非核心接口可以降级或排队。
供应链投毒：合法发布链路变成入口
CDN常分发JavaScript、安装包和更新文件。一旦CI/CD账号、对象存储或第三方依赖被接管，恶意内容会以合法域名和证书送达用户。传统WAF很难识别“由合法管理员发布的恶意文件”。
关键控制包括构建产物签名、内容哈希校验、发布双人审批、API令牌最小权限和不可变审计。前端脚本可使用SRI降低第三方资源被替换后的影响。
缓存欺骗与缓存投毒：规则差异被利用
当CDN和源站对路径、参数或文件后缀的理解不同，动态隐私页面可能被误当作静态资源缓存；攻击者也可能操纵未纳入缓存键的请求头，让错误响应被其他用户命中。
需要逐项审计缓存键、可缓存状态码、Set-Cookie处理、鉴权响应和路径规范化。带有用户身份或敏感数据的响应应明确private或no-store，不能只依赖文件后缀判断。
加密劫持与API滥用：资源被悄悄消耗
加密劫持会借用浏览器、服务器或云账号执行挖矿，表面表现可能只是CPU升高和页面变慢。API滥用则通过批量注册、撞库、薅取优惠或抓取数据消耗业务资源。两者都可能绕开传统漏洞规则。
应关联脚本变更、外联域名、计算资源、账号行为和调用成本。对API实施身份、速率、配额和业务状态校验，避免把“请求格式正确”误判为“业务意图正常”。
恶意Bot：看起来最像正常用户
高级Bot会执行JavaScript、模拟鼠标轨迹、轮换住宅代理并控制请求节奏。简单封IP不仅效果有限，还可能误伤共享网络用户。Bot治理需要综合TLS指纹、浏览器一致性、行为序列和账号结果。
企业应把处置分成放行、观察、限速、挑战和阻断，避免一刀切。更重要的是监控业务结果，例如登录失败、库存查询、优惠领取和支付尝试，判断自动化行为是否真正造成损失。
把六类威胁放进同一次桌面演练
安全团队可以设计一条组合场景：攻击者先用Bot枚举登录接口，再利用泄露令牌修改缓存，最后发起DDoS掩护操作。演练不追求流量规模，而要检查CDN、身份、发布和源站团队能否共享同一时间线。每一步明确可观测信号、决策人和停止条件。
演练结束后，不要只统计拦截数量。更有价值的指标是首次发现时间、确认攻击链时间、关键接口成功率、误拦截用户数和凭证轮换耗时。把这些数据纳入季度复盘，六类威胁才会从文章里的名词变成组织真正具备的应对能力。
落地检查清单
- 建立网络、请求、账号和业务结果的联合基线
- 审计CDN控制台与发布链路的高权限凭证
- 检查鉴权响应和敏感页面的缓存策略
- 为API设置身份、速率、配额和状态校验
- 按攻击场景演练跨团队处置
结语
六类威胁的共同点，是攻击者都在利用系统之间的缝隙。把CDN、源站、发布平台和账号体系放在一张链路图上，持续验证策略与数据是否一致，比追逐单个攻击名词更有效。
