主题

Bot 与反爬

把自动化流量和真人分开，然后分别决定怎么处置。

反爬这件事最容易被低估的部分是：你以为是人的流量，有多少其实是脚本。这一组文章讲的是识别方法（规则匹配与机器学习评分的本质差别）、处置方式（质询、限流、阻断各自的代价），以及一条反复被忽略的边界——业务层面的滥用（批量注册、薅活动）判据在你的数据里，边缘信号只是输入，不是判断本身。

这一主题的结论

WAF 判断载荷像不像攻击，Bot 防护判断调用方像不像真人。套餐之间真正的差异不是拦截多少，而是你能拿什么字段写规则。

爬虫不是一个问题——搜索爬虫、竞品比价、批量数据提取需要完全相反的处置方式。如何区分它们，以及 Cloudflare 每道控制背后真实的套餐门槛。

批量注册和薅免费额度会同时污染用户数据和推理账单。本文给出从邮箱信誉、设备指纹、无感验证到分层配额的六层防护，并明确每层的归属与套餐要求。

视频平台的盗链、剧集爬取和假量刷播放会同时吃掉带宽成本与推荐算法。本文从签名 URL、播放器接口、Bot 指纹到 CDN 成本治理，给出一套可执行的防护方案，并标注每层所需的 Cloudflare 套餐。

Bot 不等于坏人。本文把流量判据拆成凭据、环境、行为三层，给出 bot score 的真实语义、套餐差异与分级处置矩阵。

有 WAF 了还需要 Bot 管理吗？

需要，它们解决的是不同问题。WAF 拿规则去匹配请求：符合这个模式就执行这个动作。Bot 管理给请求本身打分，应对的是比写规则更快变化的自动化流量。实际部署里两者是配合的——分数作为规则的输入。

Bot 管理能防住薅羊毛吗？

能防住其中自动化的那部分：脚本注册、一次性基础设施、撞库。但某个具体的人有没有在滥用活动，取决于账号历史、资金关系和活动规则，这些数据在你手里。边缘信号是这个判断的输入，不是判断本身。

开阻断会不会误伤搜索引擎？

有可能。直接按分数分档阻断、而不单独处理你依赖的验证爬虫时就会。Cloudflare 会对主流爬虫做验证，你的规则应该显式处理这些已验证的爬虫。在开阻断之前先确认爬虫名单，是最省事的一步。