应用层防护规则最常见的副作用，是正常用户被当成攻击来源。共享办公网、移动运营商 NAT 和校园网可能让大量用户使用相同出口 IP。
先理解正常行为
登录包含页面加载、静态资源、验证码、提交和后续接口请求。单看总请求数，会把一次正常登录误算成多次高频访问。
组合多个特征
- 路径和请求方法。
- 会话与设备标识。
- 提交失败率和验证码结果。
- 短时间内的请求间隔。
- 业务成功率和后端资源。
设置观察模式
新规则先记录命中而不阻断，对比正常业务请求，确认误判范围后再逐步生效。高风险路径可以更严格，但要提供人工恢复和申诉路径。
关注业务指标
登录成功率、验证码通过率、支付成功率和搜索延迟下降，才说明策略真正有效。仅看到 403 数量上升，不能证明防护成功。