如何在 Cloudflare 设置速率限制规则防止 API 接口被刷量

对于大多数站点，直接在 Cloudflare 后台使用 WAF 自定义规则配置速率限制是最稳妥的方案，尤其适合需要保护 API 接口且不想修改后端代码的场景。

先说结论：优先使用 WAF 自定义规则中的速率限制功能，根据套餐权限选择阻断或挑战动作。

• 先判断：确认当前 Cloudflare 套餐是否支持所需的速率限制动作（免费套餐通常仅限 5 条自定义规则）。
• 优先做：针对特定 API 路径创建规则，避免全站误伤正常用户。
• 再验证：通过日志和安全事件确认规则触发情况，观察业务是否正常。
• 必查项：确保域名 DNS 记录已开启代理（橙色云朵），否则规则不生效。

套餐权限与前置检查

在配置前，需明确当前套餐对速率限制的支持程度，避免配置失败：

• 免费套餐（Free）：支持自定义 WAF 规则，但数量限制为 5 条。速率限制动作可用，但高级功能受限。
• 付费套餐（Pro/Business）：支持更复杂的速率限制规则，拥有独立的 Rate Limiting 配置入口，规则数量上限更高。
• 代理状态：登录 Dashboard 检查 DNS 设置，确保目标域名的云朵图标为橙色（Proxied）。若为灰色，流量不经过 Cloudflare 边缘，速率限制无法生效。

配置步骤

Cloudflare 后台界面可能随版本更新微调，请根据实际菜单选择：

1. 登录 Cloudflare Dashboard，选择目标域名。
2. 左侧菜单点击 Security（安全）> WAF。
3. 入口选择：
   • 若看到 Rate limiting 标签页，优先在此创建（适合付费套餐）。
   • 若仅看到 Custom rules（自定义规则），点击 Create rule（适合免费套餐）。
4. 命名规则，例如"API Rate Limit"。
5. 设置条件：在 Field 中选择 URI Path 或使用表达式编辑器。
6. 设置速率限制：添加 Rate limiting 条件，设定请求数上限和时间窗口（例如 100 requests per 10 minutes）。
7. 选择动作：在 Choose action 中选择 Block（阻断）或 Managed Challenge（挑战）。
8. 点击 Deploy 保存规则。

常用表达式模板

在自定义规则中，使用表达式可以更精准地匹配流量。以下是常见 API 保护表达式：

• 匹配特定 API 路径：
  (http.request.uri.path contains "/api/")
• 匹配特定请求方法（如 POST）：
  (http.request.method eq "POST")
• 组合条件（API 路径且为 POST）：
  (http.request.uri.path contains "/api/" and http.request.method eq "POST")

将上述表达式填入规则编辑器的 Expression 字段即可。

验证方法

配置完成后，建议使用本地终端模拟高频请求进行验证。注意将 example.com 替换为你的实际域名：

for i in {1..120}; do curl -I https://example.com/api/user; done

执行后，观察返回状态码。若规则生效，后续请求应返回 429 Too Many Requests 或 403 Forbidden（取决于动作设置）。

同时，回到 Cloudflare Dashboard 的 Security > Events 页面，筛选动作类型为 blocked 或 challenge 的日志，查看是否有来自你测试 IP 的记录。

常见坑与风险

• 免费套餐限制：免费计划对自定义规则数量严格限制（通常 5 条），配置前需查看当前套餐权益，避免占用过多规则配额。
• 阈值设置风险：阈值设得太低可能影响正常用户或爬虫（如搜索引擎）。建议初期动作设为 Managed Challenge 或 Log，观察日志后再调整为 Block。
• CDN 回源 IP：确保 Cloudflare 已正确代理流量（橙色云朵状态）。若源站直接暴露 IP，攻击者可绕过 Cloudflare 直接请求源站。
• 缓存影响：静态资源通常被缓存，不计入回源请求。速率限制主要针对动态 API 接口，配置时需通过 URI 路径区分，避免限制 CSS/JS 文件。

原文链接：https://www.zjcp.cc/ask/11390.html