技术帮助 · 发布时间：
同一页面上，自动化爬虫流量与真实促销用户的限速规则区分，不能只看请求速度或浏览器标识。搜索引擎抓取、价格监测等自动访问可能短时间集中请求；促销活动中的用户也可能从广告、邮件或二维码同时进入。建议先分流识别，再限速，并保留正常访客完成关键操作的机会。
方法一：核验来源，不把标识当证明
查看访问日志中的 User-Agent、来源地址、访问时间和请求路径。Googlebot、Bingbot 等名称可以作为排查线索，但客户端能伪造 User-Agent，不能据此直接放行或封禁。对于声称来自搜索引擎的请求，可按相应服务公开的验证方法核验；无法确认时，先按普通自动化请求管理。
促销访客的来源参数也不是身份凭证：广告链接参数可以复制，来源页信息可能缺失。把来源渠道作为辅助信号，并结合后续行为判断。
方法二：看访问路径和请求节奏
按会话或短时间窗口观察访问顺序。爬虫常按链接遍历大量页面，访问节奏较规律；真实访客通常会在促销落地页、商品或活动详情、规则说明等页面间切换，也可能停留后再提交表单。不过，自动化测试也会模拟浏览，单一特征不足以定性。
- 记录同一来源在约1至5分钟内请求的页面数、重复比例和间隔；这是初筛窗口，不是通用阈值。
- 区分静态资源、页面浏览与提交、下单等关键操作，避免把加载图片和脚本误算成独立访客行为。
- 抽查高频请求的路径顺序及响应结果，确认它是否在重复抓取或反复尝试。
方法三：比较会话连续性与交互
真实促销访问常能形成连续浏览会话，例如进入活动页后查看规则，再选择商品或提交信息。部分爬虫则只取页面内容，不保留会话状态。可在合法、必要的范围内观察 Cookie 是否连续、页面流程是否完整；不要仅凭没有 Cookie 就判定为爬虫，隐私设置、拦截工具和无痕浏览都可能影响记录。
方法四：用分层限速代替一刀切
为不同请求设置不同限速键，例如按来源地址、会话标识、账户和路径组合判断。对内容抓取，可限制单位时间内的页面请求数；对促销表单或库存确认等关键操作，可设置更宽松但有防滥用保护的独立规则。令牌桶适合允许短暂突发、同时控制长期平均速率的场景。
阈值应依据服务承载能力和真实流量基线逐步调整。测试时可从较保守的限制开始，检查是否误伤正常访问，再逐步收紧；被限速时返回 HTTP 429，并在适用时提供 Retry-After。不要把某个固定请求数当作所有网站和活动的标准。
方法五：观察业务影响并留出人工复核
上线后对照限速前后的页面成功率、表单完成情况、错误响应和服务器负载。若促销入口的失败集中增加，先检查规则是否把共享网络中的多人误当成单一高频来源。学校、办公室或移动网络可能有许多用户共用出口地址，仅按地址限速容易误伤。
- 先以记录和告警模式运行，保存规则命中原因及请求类别。
- 选取活动高峰与平常时段分别检查，确认规则对关键页面的影响。
- 发现误判时，缩小规则作用路径或改用会话、账户等组合条件，并设置短期例外后复查。
判断原则与常见问题
实际执行自动化爬虫流量与真实促销用户的限速规则区分时，优先采用多项信号交叉判断；有疑问就先减速、挑战或观察，不要立即全面封禁。限速规则应能解释命中原因，并可回滚。
只看请求频率够不够？
不够。促销高峰可能带来集中访问，爬虫也可能低速运行；还要结合路径、会话和请求结果。
促销链接来源能证明是真人吗？
不能。来源参数可被复制，只能作为辅助线索，不能单独决定放行。
什么时候返回 HTTP 429？
当请求超过已配置的合理限额时可返回；应同时检查规则是否误伤关键操作，并在条件允许时告知重试时间。
被误限速后先改什么？
查看命中日志和受影响路径，再调整限速键、路径范围或阈值。持续复核这些指标，才能让自动化爬虫流量与真实促销用户的限速规则区分更可靠。
