促销开始后，网站连接数上升并不一定意味着遭到攻击；反过来，访问量看似平稳，也可能有大量连接长期占用资源。判断网站连接数异常增长与正常促销流量的区分，不能只看一个总数，要把连接变化、请求内容、业务表现和活动时间放在一起核对。
先分清“连接变多”和“请求变多”
连接数通常指某一时刻仍保持的网络会话；请求量则统计一段时间内收到的页面或接口请求。HTTP/2 可以在一条连接上复用多个请求，因此请求增加时，连接数未必同比增长。反之，客户端或代理保持连接较久，也可能让连接数升高，但请求量变化不大。
先查看负载均衡器或 Web 服务器的连接指标，再对照访问日志中的请求数、状态码、路径和响应时间。以 Nginx 为例，可按分钟统计访问记录，并比较首页、商品详情页、搜索和下单接口是否同步变化。单看总连接数，无法判断流量是否真实。
促销流量通常有哪些可核对的特征
正常活动流量往往能对应到明确的时间点和传播渠道，例如邮件发送、应用内通知或活动页面上线。用户访问路径也较连贯：先打开活动页，再浏览详情，之后可能加入购物车或离开。峰值可能集中在通知送达后，但随着活动节奏变化，访问曲线通常也会变化。
这些特征不是绝对保证。促销期间自动刷新、图片资源重复加载，或第三方平台转发，都可能造成某些路径的请求集中。应将当前数据与相同星期、相近时段的平日基线，以及过往同类活动记录比较；若没有可比活动，就先看活动前后的变化，不要把单一历史峰值当作标准。
异常连接更值得警惕的信号
- 连接与业务不匹配：连接数快速增加，但页面请求或有效业务操作没有相应增长；大量会话长时间不结束，也需要检查连接占用。
- 请求分布异常：短时间内请求集中在少数路径，重复访问模式明显，或错误响应比例升高。应结合日志确认，不要仅凭某个路径访问多就判定为异常。
- 资源指标同步恶化：连接增长同时，服务器文件描述符、内存、CPU、带宽或响应时间持续变差，且关键页面开始超时，说明系统承压已影响服务。
- 来源与时间无法解释：流量突然出现，和活动通知、页面发布等事件对不上，也没有合理的访问路径变化，需要进一步排查来源和请求特征。
其中任何一项都不能单独定性。搜索引擎抓取、网络重试和代理转发也会产生集中访问；要结合请求频率、响应结果和业务日志交叉确认。
按这个顺序排查，避免误拦正常用户
- 固定观察窗口。将当前峰值与活动开始前、活动通知发出后分别对照，按 1 至 5 分钟粒度观察曲线。短暂尖峰和持续增长的风险不同；具体窗口应按网站平时的流量波动调整。
- 并排检查四类数据。记录新建连接、当前连接、请求量和响应时间，再看错误码、热门路径及服务器资源。可先比较峰值前后 10 至 15 分钟；这个时长只是排查起点，不是通用阈值。
- 核对活动与业务链路。确认通知发送、活动页发布、外部推广等时间，再检查用户是否按预期进入页面并完成后续操作。若连接涨而有效请求不涨，优先分析连接持续时间和重复请求。
- 小范围验证处置效果。先对明显异常的请求特征采取限速或临时规则，并观察误拦、响应时间及业务完成情况。不要仅因连接数达到某个数字就封禁整个来源范围；正常用户可能共用网络出口。
结论：看“是否解释得通”，而非只看峰值
如果连接增长与活动时点吻合，访问路径合理，关键业务仍能完成，通常更像促销带来的流量；如果连接长期占用、请求分布反常且服务器指标持续恶化，则应按异常事件继续调查。判断网站连接数异常增长与正常促销流量的区分，关键是让流量来源、请求行为和服务影响彼此印证，并在调整规则后复查效果。
常见问题
连接数翻倍就代表异常吗？
不代表。需要结合平时基线、活动安排、请求量和服务器负载判断，不能用固定倍数替代分析。
促销流量增加，但服务器响应变慢怎么办？
先确认变慢的是静态页面、查询接口还是下单链路，再检查资源瓶颈和错误情况。流量正常也可能超过当前容量，应优先保障关键业务。
日志里请求很多，能直接封禁来源吗？
不建议仅凭请求数量封禁。先确认请求是否重复、是否影响服务，并评估共享网络和代理造成的误拦风险，再选择限速或更窄范围的规则。
没有历史促销数据如何比较？
记录本次活动前后的连接、请求、响应时间和业务完成情况；同时核对通知与页面上线时点。后续可将这些数据作为同类活动的参考基线。