景区票务系统防刷票：基于腾讯云WAF实现恶意请求拦截

一、刷票问题有多严重

热门景区门票一开抢，几秒钟就没了，不是真的被游客抢光，是被票贩子用脚本刷光了。我们做景区票务系统时遇到过：

• 热门票种开放预约，10秒内被脚本刷走80%的票；
• 同一个IP每分钟发几百个预约请求，正常游客根本抢不到；
• 票贩子用代理IP池换着刷，封一个IP还有一万个；
• 恶意请求把后端接口打满，正常用户也访问不了。

如果不做防护，热门景区的票全被黄牛抢走，游客买不到票全来投诉，景区口碑直接崩。本文分享基于腾讯云WAF做票务系统防刷的实践。

二、刷票的几种方式

常见的刷票手段：

1. 脚本批量注册账号抢票；
2. 代理IP池绕过单IP限流；
3. 模拟正常用户行为，接口直接刷库存；
4. 恶意压测把接口打挂，趁乱抢票。

三、WAF防护怎么配

腾讯云WAF在接入层挡住大部分恶意流量，不用改业务代码。

1. 频率限制

对预约接口配置频率规则：

• 单IP每分钟最多20次预约请求；
• 单账号每分钟最多5次；
• 超过阈值直接拦截，返回429。

正常游客一分钟最多点几次，脚本一分钟几百次，一限就挡住了。

2. 恶意爬虫识别

WAF自带爬虫识别，自动识别脚本、工具、爬虫的特征，直接拦截。常见的刷票脚本用的HTTP库特征很明显，WAF自动就能认出来。

3. CC攻击防护

旺季预约开放时，大量请求涌进来，WAF自动检测CC攻击，对异常高频请求自动挑战（验证码），真人能过，脚本过不了。

四、业务层再加一层

WAF挡大部分，业务层自己再补：

• 预约接口必须登录，手机号验证码验证；
• 每个身份证每天最多预约一次；
• 验证码校验，脚本绕不过去；
• 异常账号自动封禁。

千里达票务系统在WAF后面加了这几层，旺季刷票成功率降了99%，正常游客能抢到票了。

五、实战效果

上线WAF防护后：

• 热门票种预约，正常用户抢到率从20%升到85%；
• 恶意请求拦截率95%以上；
• 后端接口压力降了70%，CPU占用从80%降到30%；
• 没再出现票被脚本一秒抢光的情况。

六、成本

腾讯云WAF按域名和规则数收费，一个站一个月几百块钱。比票被刷光造成的游客投诉和口碑损失便宜太多。

七、总结

景区票务防刷的核心是：WAF接入层挡恶意流量，业务层加验证码和频次限制，身份证唯一性兜底。腾讯云WAF开箱即用，不用自己写拦截规则，热门景区的票终于能到真正的游客手里。