高并发上线前，单看服务商标注的防护容量并不能判断业务是否安全。真正需要核验的高防服务器防护能力测试指标，包括攻击识别与清洗效果、正常请求受影响程度，以及清洗后到源站的连接质量。测试应在获得服务商和业务负责方许可后进行，避免未经协调的流量冲击影响线上服务。
先看清洗结果，不只看入口容量
清洗中心接收异常流量后，会尝试过滤攻击包并放行正常访问。关注指标时，应把“能承受多大流量”和“清洗后业务是否可用”分开评估。
- 清洗率：比较进入防护节点的异常流量与被拦截的异常流量。计算口径要确认是否按流量、连接数或报文数统计；不同口径不能直接横向比较。
- 正常请求误拦率：检查登录、查询、文件提交等真实业务操作是否被拦截。只验证首页可访问，容易漏掉特定请求被误判的情况。
- 牵引时延：观察攻击特征出现后，流量切换至防护路径所需时间。业务对短时中断敏感时，应特别核对切换期间的连接表现。
- 持续处理能力：分别测试短时突发与持续压力。测试持续时间可从数分钟逐步延长至约半小时，具体强度和时长须由服务商结合方案、业务承受能力确定。
因此，高防服务器防护能力测试指标至少应记录测试流量类型、持续时间、清洗前后统计口径和业务端结果；只有容量数字，没有这些信息，结论很难复核。
回源指标决定清洗后能否正常服务
攻击流量被过滤后，放行的请求仍要经过回源链路到达源站。应重点检查回源带宽是否满足正常峰值、连接建立是否稳定，以及源站响应时间和错误率是否明显恶化。若防护服务的回源上限低于业务高峰需求，即使清洗节点工作正常，用户仍可能遇到超时。
建议在基线测试和防护测试中使用同一批业务操作、相同地域与相近时段，并同时记录应用响应时间、连接失败比例和源站资源占用。测试数据会受链路距离、加密开销、源站负载和缓存策略影响，不宜把某个固定时延当作所有业务的合格线。
按步骤完成上线前验证
- 确认边界：列出需要保护的业务入口、源站地址范围和允许测试的时间段，向防护服务商确认测试方式、流量上限及紧急停止联系人。
- 建立基线：在无攻击模拟的情况下运行常见业务流程，记录响应时间、成功率、源站负载和回源流量，作为对照。
- 分阶段施压：从低强度开始，逐步增加经批准的测试流量，并覆盖 TCP 连接耗尽、UDP 流量冲击等不同类型；每阶段观察清洗中心告警和业务指标。
- 验证恢复：停止测试后，确认流量路由、连接状态与源站负载恢复正常，并检查是否有持续误拦或配置未回滚。
- 留存证据：保存服务商侧清洗记录与业务侧监控时间线，记录异常发生、流量切换、恢复的时间点及双方统计口径。
用业务结果判断是否达标
最终验收不应只依据服务商面板显示的拦截数字。应确认关键业务流程可完成，正常请求没有持续误拦，回源链路在约定负载下稳定，并且异常解除后能够恢复。将这些条件写入上线检查表，才能让高防服务器防护能力测试指标对应到可执行的验收结论。
常见问题
只做正常并发压测够吗？
不够。正常压测验证容量，不能替代对攻击识别、误拦和清洗后回源的检查。
可以直接在生产环境模拟攻击吗？
不应擅自进行。先取得授权，约定范围、强度、时段和停止机制；无法保证影响可控时，应使用隔离环境或服务商提供的验证方式。
清洗率越高就一定越好吗？
不一定。还要结合误拦率、业务成功率和回源表现判断；误伤正常请求时，单看拦截比例会得出片面结论。
哪些指标适合写进验收单？
至少包括清洗口径与结果、牵引时延、正常请求误拦情况、回源带宽和响应表现，以及测试后的恢复情况。
