访问量突然涨到平时的几十倍，动态页面全部超时，日志里同一地址高频请求。碰到这种情况，我一般先确认改动有没有真的生效。
原因不复杂，没有针对单地址的并发与频率限制，动态请求直接打到应用层。
「CC 攻击防护」这个问题文档写得含糊，实际行为以当前版本为准，别照旧版本的结论套。改完顺手把文档补一句，省得下次自己重新推一遍。
limit_conn_zone $binary_remote_addr zone=addr:10m; limit_conn addr 10; limit_req zone=req burst=20 nodelay;
监控和日志的时间要对上，时区不一致会多绕很大一圈。临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。
动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。一次只改一处，改完立刻验证，几个改动叠在一起，出问题就说不清是谁导致的。
先做最小复现，能稳定跑出来的问题，排查成本会低一个数量级。
具体做法是，按地址限制并发连接；对动态路径加频率限制；静态资源交给缓存层。
最后用这个标准收尾，异常请求被限流，正常用户访问恢复。