Discuz 接口频繁被刷怎么配置 IP 黑名单限制访问？

针对 Discuz 接口被刷，最推荐在 Web 服务器层（Nginx/Apache）配置 IP 拒绝规则，其次才是 Discuz 后台的 IP 禁止功能。适用场景为确认攻击 IP 后的快速止血，风险边界在于避免误封 CDN 节点或公共出口 IP 导致正常用户无法访问。

先说结论：服务器层拦截优于程序层拦截，能减少 PHP 资源消耗并降低数据库压力。

命令速用版

若使用 Nginx，可在 server 块或 location 块中添加以下配置片段，立即生效需重载服务：

location / {
    deny 192.168.1.100;
    allow all;
}

若使用 Discuz 后台，路径通常为：管理中心 -> 站点 -> 安全 -> IP 禁止，输入 IP 段后提交。

Discuz 程序层拦截需要完成 PHP 初始化和数据库连接，攻击流量仍会消耗服务器资源。Web 服务器层拦截发生在请求到达 PHP 解释器之前，能直接断开连接，显著降低 CPU 和内存占用。公开资料中没有看到可靠的量化数据表明具体节省多少资源，但架构原理决定了越早拦截开销越小。

第一步：定位攻击 IP。查看 Nginx 访问日志（通常位于 /usr/local/nginx/logs/access.log）或 Discuz 运行日志，筛选请求频率异常的 IP 地址。注意区分正常爬虫和恶意请求。

第二步：配置 Web 服务器拦截。编辑 Nginx 配置文件，在 server 段内加入 deny 指令。若 IP 较多，可使用 include 引用外部文件管理黑名单。修改后执行 nginx -t 检查语法，再执行 nginx -s reload 重载配置。

第三步：配置 Discuz 后台拦截。登录 Discuz 管理中心，找到 IP 禁止功能，输入 IP 或 IP 段。此方法适合临时补充，不适合高频大流量攻击场景。

第四步：设置回滚方案。修改配置文件前备份原文件，若误封导致无法访问，可通过控制台直接编辑配置文件恢复。

在未被封禁的机器上使用 curl 命令测试，命令格式为 curl -I -x 攻击 IP:端口网站地址。若配置生效，直接访问应返回 403 Forbidden 状态码。检查 Web 服务器错误日志，确认被拒绝的请求已记录且不再写入 Discuz 应用日志。

第一，误封 CDN 节点 IP。若网站接入 CDN，攻击者可能伪装或直接请求 CDN 回源 IP，此时封禁 CDN 节点 IP 会导致所有通过该节点的用户无法访问。需确保 Web 服务器获取的是用户真实 IP 而非 CDN 节点 IP。

第二，管理员自锁。配置 IP 黑名单时未排除管理员当前登录 IP，可能导致后台无法访问。操作前务必确认管理端 IP 不在封禁范围内。

第三，动态 IP 失效。攻击者使用动态 IP 或代理池频繁更换地址，静态黑名单维护成本高。此时应考虑结合频率限制（limit_req）或接入 WAF 服务。

不会直接影响，除非误封了搜索引擎爬虫 IP。建议在白名单中放行主流搜索引擎爬虫段，或在封禁前核对 User-Agent 和 IP 归属。

Nginx 配置需删除 deny 行并重载服务，Discuz 后台需在 IP 禁止列表中删除对应记录并保存。

仅对固定 IP 的 CC 攻击有效。若攻击来源分散，需配合频率限制策略或云端防护服务，单一黑名单无法解决分布式请求问题。