workbuddy平台需通过集成第三方ddos防护方案实现纵深防御：一、对接阿里云ddos原生防护企业版；二、接入waf+高防ip组合；三、部署本地化流量清洗设备；四、启用内置指令防护与速率熔断。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用WorkBuddy平台时面临DDoS攻击风险，系统本身不直接提供网络层流量清洗能力，但可通过集成第三方安全防护产品实现纵深防御。以下是将WorkBuddy与主流DDoS防护方案协同部署的具体配置建议：
一、对接阿里云DDoS原生防护企业版
该方案适用于WorkBuddy部署在阿里云ECS或ALB后端的场景，利用云原生防护能力实现BGP牵引+自动清洗，避免攻击流量抵达WorkBuddy服务节点。
1、登录阿里云控制台，进入【DDoS原生防护】产品页，创建企业版实例并绑定WorkBuddy业务所用的公网IP。
2、在【资产中心】中确认WorkBuddy关联的EIP或SLB已显示为“防护中”状态，并核对黑洞阈值是否高于业务峰值带宽的5倍。
3、进入【防护策略】→【Web应用防护】，启用CC防护规则，将WorkBuddy的API入口路径（如/api/v1/execute）加入重点防护域名列表。
4、配置回源IP白名单：在WorkBuddy所在ECS的安全组中，仅放行阿里云DDoS原生防护的回源IP段（如100.100.0.0/16），严禁开放全网0.0.0.0/0入向规则。
二、接入Web应用防火墙（WAF）+高防IP组合
当WorkBuddy对外暴露HTTP/HTTPS接口且需防御应用层CC攻击与网络层洪水攻击时，应采用WAF与高防IP联动架构，由WAF处理七层攻击、高防IP承接四层清洗。
1、将WorkBuddy域名CNAME解析至WAF分配的CNAME地址，确保所有流量经WAF转发。
2、在WAF控制台的【自定义防护规则】中，添加针对WorkBuddy指令特征的正则规则，例如匹配rm -rf、DROP TABLE、:q!等高危字符串的请求头或请求体。
3、为WAF后端配置高防IP作为源站，启用“源站保护”模式，在WAF控制台填写高防IP的回源地址，并开启“隐藏源站IP”选项。
4、在高防IP控制台的【访问控制】中，设置地域封禁策略，禁止来自已知僵尸网络高发地区（如AS16276、AS36351）的全部IP段访问。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
三、部署本地化流量清洗设备（硬件方案）
适用于WorkBuddy部署于IDC机房且对数据主权与延迟有严格要求的企业，通过旁路镜像+清洗设备实现自主可控的实时过滤。
1、在核心交换机上配置端口镜像，将流入WorkBuddy负载均衡器的所有入向流量复制一份发送至清洗设备管理口。
2、清洗设备启用TCP代理模式，对SYN Flood、UDP Flood等攻击类型执行连接验证，合法会话才转发至真实服务器。
3、在清洗设备策略库中导入WorkBuddy API的正常流量基线模型，设置动态阈值：单IP每秒请求超过15次且响应时间突增200ms以上即触发限速。
4、清洗设备输出接口直连WorkBuddy前置LB，确保清洗后流量无损转发，同时在设备日志中启用“WorkBuddy指令关键词告警”，捕获含DELETE FROM、FORMAT DISK等字段的原始请求包。
四、启用WorkBuddy内置指令防护与速率熔断
在WorkBuddy AI自身层面强化应用层防御，与外部防护形成策略闭环，防止绕过网络层防护的恶意指令直达执行引擎。
1、登录WorkBuddy管理控制台，进入【系统设置】→【安全中心】→【指令防护】，开启【高危指令实时拦截】开关。
2、在【自定义关键词库】中添加业务专属高危词，例如：清空生产数据库、跳过权限校验、导出全部用户手机号，并启用模糊匹配覆盖同义变体。
3、进入【速率限制策略】模块，为/api/v1/execute接口配置全局QPS上限为80次/分钟，单IP粒度限制为5次/分钟，超限请求返回HTTP 429状态码。
4、启用【执行前二次确认】机制，对匹配UPDATE/DELETE语句、调用/api/v1/export接口、SELECT语句无WHERE条件等场景，强制弹出带时效性验证码的审批弹窗。
