如何有效避免恶意连续访问web网站

[欠你金木水火土]

一个互联网网站，如何防止用户恶意刷新网站，或者通过工具恶意连续访问网站，因为业务相对比较复杂，这样连续访问服务顶不住压力，数据库服务器也承受不了连续的访问，大神，求解！！！

[tianfang]

前置防火墙/负载均衡， 后台检测到恶意访问，就通知防火墙/负载均衡，阻止其服务

[北京天很蓝]

引用 楼主 欠你金木水火土 的回复:

一个互联网网站，如何防止用户恶意刷新网站，或者通过工具恶意连续访问网站，因为业务相对比较复杂，这样连续访问服务顶不住压力，数据库服务器也承受不了连续的访问，大神，求解！！！

对于查询可以放Redis中，这样随便刷也无所谓，不会攻击到mysql，对于恶意穿透给返回一个null或者自定义对象，放到缓存也可以，

[哈希塞特]

防止恶意访问这个不应该放在应用里来做，应该交给防火墙，不然应用里写一堆代码来判断是否恶意访问，这样还是占用服务器的资源，还增加应用的负担。所以如果你是做应用开发的，就不用考虑这块

[qq_39936465]

引用 楼主 欠你金木水火土 的回复:

一个互联网网站，如何防止用户恶意刷新网站，或者通过工具恶意连续访问网站，因为业务相对比较复杂，这样连续访问服务顶不住压力，数据库服务器也承受不了连续的访问，大神，求解！！！

设定访问速率，单位时间内访问次数，超过次数禁止该ip访问。确实像上面所说的网络安全问题应该交给网络设备。

[开拓者Amadues]

引用 3 楼 哈希塞特 的回复:

防止恶意访问这个不应该放在应用里来做，应该交给防火墙，不然应用里写一堆代码来判断是否恶意访问，这样还是占用服务器的资源，还增加应用的负担。所以如果你是做应用开发的，就不用考虑这块

要看是基于什么判断恶意访问的，如果是用户级别的，那这个也是应用上的概念，是要放在应用层来实现的，如果是ip级别的那就不是应用层的事情。

[开拓者Amadues]

有一些开发框架，会对方法调用有频率的限制，这个思路你可以参考下。 像获取手机验证码通常都有频率限制，这个功能是很常用的。