核心思路是分层设防：先确认身份真伪，再限制行为强度，最后隔离异常源头；强制使用bearer token+https认证，按身份动态限流，严控请求头与cors，结合实时监控与自动响应闭环。
核心思路是分层设防：先确认身份真伪，再限制行为强度，最后隔离异常源头。单纯靠一个密钥或一个登录页挡不住高频恶意调用，尤其在AI、文脉定序这类高算力接口上，一次误配就可能让服务过载停摆。
强制使用标准认证协议，禁用弱验证方式
别用 URL 参数传密钥（如 ?api_key=xxx），也不依赖前端隐藏字段或简单 session ID。这些极易被爬虫提取、重放或伪造。
- 采用 Bearer Token + HTTPS 组合，Token 由后端签发、带有效期和作用域（如
scope=seq:read） - 对敏感操作（如批量导出、模型重训）额外要求 MFA，比如短信验证码或 TOTP 动态码
- 拒绝接受未签名的请求头，例如拦截所有不含
Authorization: Bearer xxx的/api/v1/sequence请求
按身份等级实施动态限流
同一个 API 密钥，对普通用户和管理员应有不同调用额度；同一 IP 下多个账号频繁切换也需警惕。
- 基于用户身份（而非仅 IP）做令牌桶限流：每个有效 Token 每分钟最多 60 次调用，超限返回
429 Too Many Requests - 对未认证请求统一限为每 IP 每小时 5 次，防止暴力探测接口路径
- 检测到某 Token 在 10 秒内触发 3 次鉴权失败，自动临时冻结该密钥 15 分钟
阻断非法来源与异常请求头
很多攻击不是从登录入口进来，而是绕过前端直打后端 API，靠伪造 User-Agent、空 Referer 或恶意 Header 触发逻辑漏洞。
- 配置 CORS 严格白名单，禁止
"*"通配，只允许可信域名（如https://app.yourbank.com） - 校验关键请求头：强制要求
X-Request-ID存在且格式合法，拒绝含X-Forwarded-For多级跳转或Content-Type: application/x-www-form-urlencoded却携带 JSON 数据的请求 - 对所有
/admin/*和/debug/*路径启用双重身份检查——既验 Token，又查角色声明（role=admin）
实时监控+自动响应闭环
光靠配置不够，得让系统自己“看见”异常并快速反应。比如某文脉定序服务上线后第三天，日志里突然出现大量 401 后紧接 403 的组合请求，说明有人在爆破密钥+越权探测。
- 接入轻量日志分析器（如 Loki + Grafana），设置规则：单 IP 每分钟 50+ 次 401/403，自动触发告警并加入临时黑名单
- 对连续失败的认证请求，记录原始请求头、TLS 指纹、ASN 信息，用于识别僵尸网络特征
- 将高频异常模式（如固定 UA + 随机参数 + 短间隔）沉淀为 WAF 规则，下次直接拦截，不进业务层
