新网虚拟主机流量突然超标排查完整流程_日志分析与定位
流量突然超标排查时区分正常增长和异常增长。正常增长是访问量和流量同步上升，页面浏览数增加；异常增长是流量暴涨但访问量不变，说明单个请求体积变大（图片未压缩、大文件被下载）或被机器刷。用浏览器开发者工具 Network 对比百度统计和主机面板的访问量，差距大就是异常流量。
百度统计、CNZZ 等 JS 统计只记录执行了 JS 的浏览器访问，搜索引擎、采集器、脚本请求不记录。主机面板流量统计的是所有 HTTP 请求，两者数字差距大说明非浏览器流量占比高。流量突然超标排查时对比两个统计，JS 统计正常但面板流量高，基本是蜘蛛、采集器或攻击。
配置参考（Apache 开启 Gzip 压缩（.htaccess））：
```
定位原因后对应处理：被盗链配 Referer 防盗链，被采集配 UA 黑名单和 IP 黑名单，被攻击联系客服开防护或临时封禁 IP，自身资源大就压缩图片、合并 CSS JS、开启 Gzip。处理完观察 24 小时，流量下降到正常范围说明根因解决，否则继续排查。
区分攻击和采集的特征：攻击是短时间内大量请求同一 URL（CC 攻击）或 SYN 包（DDoS），UA 随机或空，Referer 为空；采集是按顺序抓取列表页和内容页，UA 固定（如 Scrapy、python-requests），Referer 是自己站点的列表页。攻击要封 IP 或联系客服开防护，采集要封 UA 加 IP。
流量排查的自动化脚本可以每周跑一次，自动统计 Top IP、Top URL、Top UA，异常数据邮件告警。虚拟主机不支持 cron 的话，本地电脑写个 Python 脚本，每天自动下载日志分析，发现单 IP 请求超 1 万次或单文件流量超 1GB 就告警。提前发现比超标后处理成本低 80%。
更新时间：2026-08-26 23:13:38