iptables+connlimit是第一道防线，应用层需配合环形缓冲区压制未认证连接，epoll+ebpf可作协议层初筛，真实防护取决于最弱一环。
直接用 libevent 或 libuv 自己计数不可靠
很多 C++ 服务端开发者会想：我在 accept 后把 client_fd 和 inet_ntoa() 得到的 IP 存进一个 std::unordered_map<:string int></:string>，每次 +1，超限就 close()。这看起来简单，但实际踩坑极多：
• 连接未完成三次握手时（SYN_RECEIVED 状态）就已计入，攻击者发一堆半开连接就能绕过；
• 没考虑 TIME_WAIT / FIN_WAIT2 等状态残留，IP 计数长期不释放；
• 多线程环境下没加锁或用了低效锁（如全局 mutex），高并发时性能断崖下跌；
• IPv6 地址字符串长度不定，std::string 哈希开销大，且容易被伪造 X-Forwarded-For 干扰。
iptables + connlimit 是最稳的第一道防线
真正防住 CC 的起点不是应用层，而是内核网络栈。C++ 服务本身不参与连接建立前的拦截，所以必须靠 iptables 在连接进入用户态前就掐断：
• 运行这条命令即可限制每个 IPv4 地址最多 5 个并发 SSH/HTTP 类连接：
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j REJECT --reject-with tcp-reset
•
--connlimit-mask 32 表示精确到单个 IP；若后端是 NAT 出口（比如 K8s NodePort），可改用 --connlimit-mask 24 按 C 类网段统管；• 必须用
REJECT --reject-with tcp-reset，而不是 DROP，否则客户端会卡在 connect() 阻塞几秒，反而加重服务端负担；• 此规则对所有 TCP 连接生效，不依赖你的 C++ 代码是否运行、是否崩溃，只要内核活着就起作用。
应用层需配合 MaxStartups 思路做未认证连接压制
C++ 服务监听后，仍可能被大量未完成认证的连接占满 listen() 队列或消耗 accept() 线程。这时要模仿 OpenSSH 的 MaxStartups 逻辑：
• 维护一个轻量级环形缓冲区（ring buffer），只存最近 N 个未完成 handshake 的 client IP（用 uint32_t 存 IPv4，或 in6_addr 存 IPv6）；
• 设置阈值如 max_pending = 10，当缓冲区满时，新来的 accept() 直接 close() 并记录日志；
• 不要等 TLS 握手完成再判断——在 accept() 返回后立即检查，避免 SSL_read() 前就被拖垮；
• 缓冲区大小建议设为 5–20，太大失去意义，太小误伤正常重试（如移动端弱网重连）。
epoll + SO_ATTACH_FILTER 可做协议层初筛（进阶）
如果攻击特征明显（如固定 User-Agent、空 Host、URI 过长），可在 accept() 后立刻用 recv(..., MSG_PEEK) 读前 128 字节，结合 SO_ATTACH_FILTER 加载 eBPF 过滤器做快速拒绝：
• 先用 setsockopt(fd, SOL_SOCKET, SO_ATTACH_FILTER, &bpf_filter, sizeof(bpf_filter)) 绑定过滤器；
• 过滤器逻辑：匹配 HTTP 请求行中 "GET /api/" 且无 "Authorization:" 头，则返回 0（丢弃包）；
• 注意：此法只适用于 Linux 4.1+，且不能替代 iptables，仅作补充；
• 更现实的做法是：在 epoll_wait() 返回后，用 readv() 带 MSG_DONTWAIT 非阻塞读取请求头，超时或异常即关连接。
iptables 把连接数压到合理范围，再让 C++ 层专注处理“已建立且可信”的连接，这才是可落地的路径。C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
