老实说，刚入行做安全防护那两年，我也没想到。
见惯了针对核心交易系统、数据库的“重火力”攻坚，下意识觉得，一个营销H5、一个活动页面，能有什么价值？直到我亲手处理了第一个案子——某电商平台大促，一个简单的“摇一摇领券”H5页面，上线三分钟，被脚本刷走25万张无门槛优惠券。没有漏洞利用，没有拖库，就是纯粹的机器流量暴力破解。运营还以为是活动爆了，实际上全是攻击者的狂欢。
那一刻我才意识到：H5早已不是“边缘资产”，而是黑灰产眼中的“黄金入口”。
为什么？因为H5天然具备三个“优势”，全踩在攻击者的舒适区：
· 暴露面大，无需复杂权限即可访问；
· 逻辑简单，接口清晰可逆，参数极易被篡改；
· 承载高价值业务——注册、登录、领券、支付、投票，但凡有利益的地方，就有刷量的冲动。
撞库、批量注册、黄牛抢单、虚假裂变、短信轰炸……这些看似“低级”的攻击，成本低到令人发指，但造成的损失却能直接击穿业务ROI。更隐蔽的是，它们往往伪装成正常流量，传统基于特征规则的WAF根本防不住——因为请求本身是合法的，非法的是请求背后的“意图”。
这就是我们团队把H5防护作为独立赛道深耕的原因。
跟黑灰产交手这些年，我最大的体会是：防H5，防的不是“攻击”，防的是“自动化”和“批量”这两件事。 我们的方案不堆规则，而是做两件更笨但更有效的事——
一是“行为指纹”识别。 每个请求背后，浏览器环境、操作轨迹、时间戳节奏、触控事件——人和机器的“手感”完全不同。我们实时构建多维度的行为基线，机器脚本再逼真，也会在鼠标移动的加速度、点击的毫秒级抖动上露馅。
二是“风险感知前置”。 不等攻击打到业务侧，在边缘节点就把试探性流量清洗掉。我们跟云厂商合作，把轻量级的风险探针部署在CDN层面，攻击者还没触达业务服务器，就已经被标记、分流、隔离。
说句实话，H5防护做久了，会有一种“逆行者”的感觉。别人追逐高大上的0day漏洞挖掘，我们却在一行行前端代码里抠细节，在用户行为日志里找破绽。但每次看到后台拦截数据里那一串串被挡在门外的异常请求，再对比业务方发来的“今天活动很顺畅，转化率创新高”的反馈，就觉得值了。
黑灰产盯上H5，说明业务在生长，攻击在进化。作为防护方，我们的价值不是筑一堵高墙，而是让合法用户的每一次点击都丝滑无感，让攻击者的每一次试探都泥牛入海。
H5虽轻，护它不轻。
但这件事，恰好我们擅长。
