直接给结论：加带宽基本没用，甚至是在帮对方提速。盗链和刷流量花的是你的出网带宽，你把带宽从 5M 加到 50M，对方只会更快地把这 50M 吃掉，账单跟着涨，源站照样被拖。正确的顺序是先在链路上把口子堵住——静态资源分离到对象存储加 CDN、开防盗链、限制单 IP 频率、必要时上 WAF，最后才谈带宽和防护套餐。
一、先分清是哪种”流量被吃”
- 盗链：别人把你这台机器上的图片、视频、下载包直接引用到自己站上。特征是访问日志里 Referer 全是陌生域名，UA 正常，流量集中在 jpg、mp4 这类静态文件上。
- 爬虫和扫描：同一段 IP 高频拉全站，或者反复请求搜索页、列表页。UA 常是 python-requests、curl 或直接为空，访问路径规整得不像人。
- 恶意刷量或 CC：直接打页面和接口，QPS 很高但带宽不一定大，先撑不住的是 CPU 和数据库连接数。这种情况光看带宽曲线会误判。
三种情况处理方式完全不同，别一上来就升配。先看访问日志，判断错方向，钱花了问题还在。
二、两条命令先定位
在服务器上按 IP 和 Referer 各排一次序，基本就能定性（Nginx 日志路径按自己环境替换）：
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
awk -F'"' '{print $4}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
第一条看谁在刷，第二条看流量从哪个站引过来的。如果某个陌生域名占了大头，就是盗链；如果某个 IP 或 /16 网段占了七成，就是刷量。
三、按性价比排的四步
- 静态资源搬家：图片、视频、附件放 OSS，前面套 CDN。源站只处理动态请求，出网带宽压力立刻降一大截。腾讯云这边是 COS 加 CDN，思路完全一样。
- 开防盗链：对象存储和 CDN 都支持 Referer 黑白名单、时间戳签名 URL。白名单只放自己的域名，签名 URL 让链接过期即失效，对普通盗链足够用。
- 源站限流：Nginx 用 limit_req 限单 IP 请求速率、limit_conn 限并发，再把空 UA 和常见采集 UA 直接 return 403。这一步能挡掉大部分低成本刷量。
- 该上防护就上：持续被打就考虑 WAF 和 DDoS 防护，同时把计费方式想清楚——按流量计费被打时账单会跟着涨，固定带宽至少有个上限，但要确认超限后的限速规则。
注意：
- Referer 是可以伪造的，防盗链只能挡住”顺手引用”的普通盗链，挡不住有意的刷量。别把防盗链当成安全防护，它只是个门槛。
- 光加带宽不治理，等于给对方提速。带宽越大，被刷时烧掉的钱越多，源站该卡还是卡。
- 套了 CDN 也不等于万事大吉：没缓存住的动态请求照样回源，回源流量同样计费。防护要落在源站限流和 WAF 上，不能只靠一层 CDN。
总结：流量被刷是”入口没管好”的问题，不是”管子不够粗”的问题。先把静态资源分离出去、把防盗链和限流打开，再回头评估带宽够不够，顺序反了就是白花钱。
三种情况对应的首选动作
| 现象 | 首选动作 | 说明 |
|---|---|---|
| 图片视频被站外引用 | OSS+CDN 并开 Referer 白名单 | 源站带宽压力直接下降，成本约几元到几十元每月起 |
| 单 IP 高频抓取 | Nginx 限流 + 封 UA/网段 | 零成本，改配置即可生效 |
| 页面接口被打（CC） | WAF + 源站限流 | 按套餐规格计费，通常需按月购买 |
上表为通用经验判断，具体能力与规格以阿里云官方文档为准；价格以官方活动页实时价格为准。
阿里云ECS服务器产品文档：参考-阿里云服务器ECS文档
腾讯云轻量服务器产品文档：参考-轻量应用服务器 文档中心