日照一家做外贸的企业，网站被海外黑客盯上了：连续两周，每天几万次攻击请求（SQL注入、暴力破解、扫描漏洞），服务器日志刷了几万条。老板一开始不知道，直到网站偶尔打不开、后台登录变慢才发现。好在他们之前已经上了两道防线（CDN和WAF），攻击被挡掉了95%，剩下的零星攻击也被安全组拦了。老板后怕："要是啥都没装，这网站早被攻破了。"网站防攻击，不是装一个软件的事，是搭"纵深防御"体系——5道防线，层层设卡。
防线一：CDN（高防CDN）——第一道"挡箭牌"
CDN（内容分发网络）把网站内容缓存到全国各地的节点，用户就近访问，同时天然抵御DDoS攻击（攻击流量被分散到各个节点）。高防CDN还带DDoS清洗能力（攻击流量被识别、丢弃，正常流量放行）。成本：普通CDN按流量计费（一年几百到几千），高防CDN一年2000-2万（看防护峰值）。日照这家外贸企业用的是高防CDN，海外攻击流量全被挡在节点层，服务器根本感觉不到。CDN是性价比最高的第一道防线。
防线二：WAF防火墙——第二道"安检门"
WAF（Web应用防火墙）专门拦截Web攻击：SQL注入、XSS跨站、命令注入、CC攻击（恶意刷请求）。它像安检门一样，每个请求都过一遍"安检"，可疑的直接拦下。部署方式：云WAF（阿里云、腾讯云的WAF产品，按年付费1000-1万）或软件WAF（安全狗、D盾，几百到几千/年）。日照这家外贸企业的WAF日志里，一个月拦截了3.2万次攻击请求——没有WAF，这些攻击全要服务器硬扛。
防线三：安全组/防火墙规则——第三道"门禁"
云服务器的"安全组"（或自建防火墙）控制端口访问：只开放必需的端口（80/443网站端口、22管理端口限IP），其他全关。这招能挡住90%的"扫描型攻击"——黑客扫描端口找漏洞，发现你只开两个口，基本就放弃了。日照这家外贸企业把SSH管理端口限制为"只允许公司固定IP访问"，暴力破解尝试立刻归零。
防线四：代码层防护——第四道"内功"
前面几道是"外功"，代码层是"内功"：网站程序本身要安全（防SQL注入的预编译、防XSS的输出转义、上传文件校验、后台登录限次）。很多攻击（比如SQL注入）其实是代码漏洞导致的，WAF能挡一部分，但代码本身有漏洞，早晚被绕过去。日照企业建站时，一定要确认建站公司做了代码安全（可以要求提供安全检测报告）。
防线五：备份兜底——另外一道"保险"
前面四道全被突破怎么办？备份是另外保险：每日自动备份（文件+数据库），备份存异地（云厂商的对象存储，或另一台服务器）。被攻击导致数据损坏？一键恢复。日照这家外贸企业，虽然没被攻破，但每天的快照备份让他们心里有底——"大不了回滚到昨天"。备份成本：云服务器快照一个月几十块，对象存储一个月几十块，加起来不到100元/月，是全部防线里最便宜的"保险"。
5道防线的投入产出
成本汇总：CDN几百到几千/年 + WAF 1000-1万/年 + 安全组（0元，配置一下就行）+ 代码安全（建站时确认，一般含在建设费里）+ 备份几十元/月。总投入一年2000-1.5万，而一次攻击造成的损失（停机、数据丢失、客户流失、百度降权）轻松上万甚至几十万。日照企业按"5道防线"搭一遍，网站安全等级直接对标大企业。说白了，防攻击不是"装个杀毒软件"的单选题，是"5道防线层层设卡"的体系题，每道都不贵，但缺一道就多一分风险。