DDoS 是一个大类，CC 通常指针对应用层的资源消耗请求。两者都可能让网站变慢，但处置手段和误伤风险不同。
观察资源而不是名称
| 现象 | 更可能关注 | 需要确认 |
|---|---|---|
| 带宽或包速率突增 | 网络层流量 | 协议分布、目标端口、清洗入口 |
| 连接数耗尽 | SYN、连接型攻击 | 源站连接表、回源状态 |
| 特定接口请求激增 | 应用层压力 | 路径、方法、会话、业务成功率 |
| 搜索、登录、支付变慢 | 应用和数据库资源 | 慢查询、线程池、缓存和错误结构 |
请求合法不等于业务正常
应用层攻击可能使用完整 HTTP 请求，甚至模仿真实用户。这时应结合路径、频率、会话、验证结果和业务转化，而不是只按 IP 封禁。
先阻止扩大，再提升精度
源站面临中断时，可先通过限速、缓存、挑战或临时关闭高成本功能降低压力。随后再依据日志调整规则。每次规则变更都应监测正常用户成功率。