攻击停了，监控曲线回落，群里发一句「恢复了」。

然后半小时后用户开始反馈打不开。

为什么曲线回落不等于恢复

攻击期间通常会切高防、改解析、开清洗。攻击结束，这些策略不会自动回退。

解析可能还指着高防 IP，回源链路可能是临时的，缓存可能是脏的，WAF 可能还在拦正常请求。

曲线只说明「没有异常流量了」，不说明「用户能正常访问」。

三个必查项

解析。 域名现在指到哪？高防 IP 还是源站？用 IP 查询 看一下归属，能确认是不是还在清洗节点上。

状态码。 全节点测一遍，看是不是都 200。有 403 说明 WAF 还在拦，有 502 说明回源还没通。

耗时。 TTFB 有没有回到攻击前的水平。如果还是两倍，说明链路还绕在高防上。

还要看地区分布

攻击后的策略调整经常是局部的：某些地区已经回源，某些还在高防。

全节点测一次，能看出这种不一致。只测一个节点，会得出错误结论。

缓存要处理

攻击期间如果源站返回过错误页，CDN 可能把错误页缓存了。用户访问到的就是 502 页面，而源站其实早就好了。

清理缓存，或者等 TTL 过期，再看一次。

恢复后的收尾

把临时策略记下来，逐条回退，别留在生产环境里过夜。临时白名单、临时放宽的限流、临时的解析，都是下次故障的伏笔。

确认恢复用 网站测速 跑全节点，状态码和五段耗时一起看，比单看监控曲线靠谱。