AI 建站怎么防爬与限流：WAF 规则、频率限制与恶意请求拦截的完整配置

AI 建站最大的错觉是「上线就完事」。真实情况是：任何一个公开站点，在上线几小时内就会开始被自动化流量扫描——撞库 wp-login.php 、探测 xmlrpc.php 、抓内容、刷接口。防爬与限流的正确做法不是装一个安全插件就结束，而是在边缘层、应用层、服务器层各放一道，并且所有规则先「只记录不拦截」跑一周再收紧。

先搞清楚要挡的是哪四类流量

分不清这四类，规则就会写成一刀切，最常见的后果是把搜索引擎爬虫和真实客户一起挡在门外。

边缘层：五条必配规则

以 Cloudflare 这类边缘 WAF 为例，下面这组规则是性价比最高的最小集，免费套餐基本都能配：

1. 登录页限速：http.request.uri.path eq "/wp-login.php" and http.request.method eq "POST"，单 IP 每分钟超过 5 次就封 1 小时。真人输错密码不会触发，脚本第一次跑就会被封。
2. 封 xmlrpc.php：http.request.uri.path eq "/xmlrpc.php"，动作直接 Block 。它既是撞库放大器也是 DDoS 反射源，2026 年几乎没有主流插件还依赖它。
3. 禁止执行上传目录里的 PHP：http.request.uri.path contains "/wp-content/uploads/" and http.request.uri.path ends_with ".php"，动作 Block 。这条能挡掉一大类「伪装成图片的马」。
4. 可疑 UA 拦截：User-Agent 匹配 (python-requests|curl/[0-6]|masscan|zgrab)，动作 Block 。
5. 后台 IP 白名单：http.request.uri.path contains "/wp-admin" and not ip.src in {你的出口 IP}，动作 Block 。务必放行 admin-ajax.php，否则前台搜索、购物车更新会全部失效——这是新手最常踩的坑。

应用层：Nginx 限流与 WordPress 加固

边缘层挡的是通用攻击，按接口限速还得靠自己。 Nginx 侧用 limit_req 配一个通用桶：

# http 段定义
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=search:10m  rate=1r/s;

# server 段引用
location / {
    limit_req zone=general burst=20 nodelay;
}

location = /?s= {
    limit_req zone=search burst=5 nodelay;
}

WordPress 侧再补几条常量，把后台能被当作跳板的口子关掉：

// wp-config.php
define( 'DISALLOW_FILE_EDIT', true );   // 禁止后台编辑 PHP 文件
define( 'FORCE_SSL_ADMIN', true );      // 后台强制 HTTPS
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

服务器层：别忘了锁源站 IP

如果只用 CDN 挡在前面，而源站 IP 还暴露着（常见于邮件 MX 记录、历史子域名解析），攻击者可以完全绕过边缘层直连你的服务器。做两件事：

• 用 Shodan / SecurityTrails 反查域名历史解析，清理暴露源站 IP 的入口。
• 服务器防火墙只放行 CDN 的官方 IP 段，其余 80/443 一律丢弃。

上线顺序：先记录，后拦截

三个最常见的误配置

1. 只装 WAF 不更新核心与插件：WAF 是滤网不是免死金牌，已知 CVE 该补还是得补。
2. 规则设太凶挡住真实下单：表单提交、支付回调、 Webhook 回调都要单独放行，最好按 IP 白名单而不是按 UA 放行。
3. 没有备份就上拦截规则：WAF 挡的是「进来之前」，备份救的是「已经出事之后」，两者不能互相替代。

安全是个体系工程，本文只覆盖流量侧。 HTTPS 与安全响应头部分可以看 AI 建站 HTTPS 配置指南；出事后怎么还原，参考 AI 建站备份与恢复怎么做；日常要跑哪些检查项，见 AI 建站上线后的维护清单与自动化。