服务器被 CC 攻击瘫痪？TP6.0 Nginx 层限流与应用层黑名单拦截【安防】
nginx的limit_req/limit_conn是抗CC主力，TP6.0无IP级限流。配置要点：zone定义在http块，用$binary_remote_addr，burst=5nodelay。TP6.0黑名单配合Redis二次过滤，需提取CDN真实IP。共享内存zone建议10MB以上。
先抛结论：真正扛住CC攻击的，是Nginx层的limit_req和limit_conn。TP6.0自身不提供IP级限流能力，应用层黑名单只能补漏，当不了主力。
直接说结论：TP6.0 自身不提供 IP 级限流能力，真正扛住 CC 攻击的必须是 Nginx 层的 limit_req 和 limit_conn；应用层黑名单只能补漏，不能当主力。
为什么 TP6.0 不能替代 Nginx 做限流？
这个问题其实很好理解。ThinkPHP6.0 的所有中间件、路由拦截都在 PHP 进程里执行。这意味着什么？请求已经进来了，CGI 启动了，内存分配了，甚至数据库连接可能都建立了。到这一步才去拦截，CPU 和连接资源早就被攻击者耗光了。CC 攻击打的就是这个时间差。
对比一下 Nginx 的做法：limit_req 在 TCP 握手完成、HTTP 头解析之后、转发给 PHP-FPM 之前就判定了。毫秒级响应，不进应用层，不触发任何 PHP 逻辑。这效率差了多少？两个数字说明问题：
- TP6.0 中间件拦截一个请求，大约需要 5–20ms（包括自动加载、路由匹配、中间件链）
- Nginx
limit_req拒绝一个请求，大约 0.02ms（纯内存查表和计数） - 被 TP6.0 拦下的请求，仍然会占用一个 PHP-FPM worker 进程和一次 CGI 调用
所以，让 TP6.0 做主力限流，等于把敌人请进门再动手，代价太大。
Nginx 配置必须写对的三个关键点
很多配置看上去没问题，压测一跑就崩。问题往往出在三个细节上。
第一，zone 的定义位置。limit_req_zone 必须写在 http 块顶层，不能放在 server 或 location 里。否则 reload 时会直接报错“invalid number of arguments”，配置根本不会生效。
第二，key 的选择。务必用 $binary_remote_addr，别用 $remote_addr。前者是二进制压缩的，1MB 内存可以存大约 16000 个 IP；后者是字符串存储，同样内存只能存约 4000 个，zone 很容易爆满。
第三，burst 和 nodelay 的组合。生产环境推荐用 burst=5 nodelay。这个组合的意思是：允许 5 个突发请求立即通过（防止误伤正常用户），超过的直接返回 503 Service Temporarily Una vailable。如果只写 burst=5 不加 nodelay，Nginx 会把超出的请求排队处理，攻击者反而可以靠长连接耗尽 worker 进程。
TP6.0 应用层黑名单只适合做“二次过滤”
它解决不了流量洪峰，但能干几件 Nginx 做不了的事：识别登录态用户、关联业务行为（比如 1 小时内下单 100 次）、结合 Redis 实时封禁、记录到审计日志。前提是——请求得先活过 Nginx 这关。
具体怎么用？在 TP6.0 的全局中间件里读取 $_SERVER['REMOTE_ADDR']，查 Redis 黑名单（用 SETNX + EXPIRE）。千万注意：不要用数据库查黑名单。TP6.0 默认没开启查询缓存，每次请求都连数据库，等于自己制造了一个新的性能瓶颈。
封禁动作建议返回 403 Forbidden，并记录到 access.log，方便 Fail2Ban 后续抓取日志自动封 IP。另外，如果用了 CDN，$_SERVER['REMOTE_ADDR'] 拿到的是 CDN 节点的 IP，不是真实用户 IP。这时候需要从 HTTP_X_FORWARDED_FOR 提取真实 IP，但这个 header 可以被伪造，必须配合 Nginx 的 set_real_ip_from 配置来校验。
别忽略共享内存 zone 的大小和淘汰机制
很多人设了 zone=mylimit:1m，跑两天发现限流失效了。不是配置没生效，是内存满了，旧的 IP 条目被强制清掉，新的攻击 IP 又挤进来，等于限流形同虚设。
这里有三个要点：第一，10MB zone 可以存大约 16 万个 IP 计数状态，中小业务够用；高并发站点建议至少设到 zone=mylimit:50m。第二，Nginx 每次新建条目时，最多删除两条 60 秒未访问的旧记录。如果攻击 IP 持续刷新，老记录根本不会被淘汰，新 IP 就进不来。第三，可以用 nginx -T | grep limit_req_zone 确认配置是否加载成功，再用 curl -I http://your-site/ 看响应头是否有 X-RateLimit-Limit（需要额外加 echo 模块）。
说到底，真正卡住 CC 攻击的，从来不是某一行 PHP 代码，而是 Nginx 配置文件里那几行不起眼的 limit_req_zone 和 limit_req。TP6.0 的黑名单不是盾，是刀——得等敌人冲过第一道门，才轮到它出手。
Shapr3D是一款面向工业设计、机械工程、建筑概念和三维打印工作流的CAD软件。Mac版采用Parasolid建模内核，支持草图约束、实体建模、工程图、可视化渲染及常见CAD格式交换，并可通过账户在多台设备之间同步项目。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Ableton Live 是面向音乐制作人与现场表演者的数字音频工作站，提供编曲视图、独具特色的现场视图、音频录制、MIDI创作、实时变速、乐器及效果器。Mac版原生支持Apple芯片，并可连接音频接口、MIDI控制器和第三方插件。
Adobe After Effects 是面向动态图形、影视特效与视频合成的专业创作软件。它提供关键帧动画、遮罩抠像、运动跟踪、三维空间、文字动画和表达式等工具，并可与 Premiere Pro、Photoshop、Illustrator
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Adobe Bridge 是面向摄影师、设计师及内容团队的免费数字资产管理工具，可集中预览照片、视频和 Adobe 项目文件，并利用评级、标签、关键词、元数据、筛选与收藏集完成分类检索。它还支持批量重命名、格式导出、相机导入及 Camera
Adobe Illustrator 是 Adobe 推出的专业矢量图形设计软件，适合在 Mac 上制作标志、图标、插画、包装、信息图及印刷版面。它以路径和锚点构建可无损缩放的图形，并提供钢笔、形状、文字、图像描摹、渐变、画板及生成式功能。
Adobe InDesign 是面向印刷品与数字出版物的专业版面设计软件，可在 Mac 上制作书籍、杂志、宣传册、海报、报告及交互式文档。它提供精细的文字样式、网格、母版、长文档管理和印前输出能力。
Adobe Lightroom Classic 是面向桌面摄影工作流的照片管理与后期处理软件，可将原始照片保存在本地硬盘，通过目录、关键词、评分和收藏夹高效整理图库，并提供 RAW 冲印、蒙版、镜头校正、批量同步及多格式导出等功能。
Adobe Media Encoder 是 Adobe 推出的专业音视频编码与转码工具，可通过队列、预设和监视文件夹批量完成格式转换、代理文件创建及多平台成片输出，并与 Premiere Pro、After Effects 等软件紧密协作。
Adobe Photoshop 是面向摄影师、设计师和内容创作者的专业图像处理软件，提供图层、蒙版、选区、修复、调色、文字排版、智能对象及生成式编辑等能力。Mac 版支持 Intel 与 Apple Silicon 处理器。
Adobe Premiere Pro 是面向专业视频制作的非线性剪辑软件，提供多轨时间线、调色、音频处理、字幕、代理工作流和多格式输出能力，并可与 After Effects、Audition、Photoshop 及 Frame.io 协同
Photoshop 2026 是 Adobe 推出的专业图像处理与视觉设计软件，支持 Windows、macOS 和 iPad 等平台，广泛应用于摄影修图、电商设计、平面海报、数字绘画及视觉合成等创作场景。
Blender 是一款免费开源、跨平台的专业 3D 创作软件，集建模、动画、渲染、视频编辑与视觉合成等功能于一体，广泛应用于影视动画、游戏设计和建筑可视化等领域。软件支持 Cycles 物理渲染器与 Eevee 实时渲染引擎，并提供多边形建模、骨骼绑定、物理模拟等专业工具。Blender 兼容 Windows、macOS 和 Linux 系统，安装包轻巧、运行流畅，依托活跃的全球开发者社区持续更新，是从初学者到专业创作者都值得选择的正版 3D 创作工具。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。