第七层（应用层）DDoS攻击与传统的网络层流量泛滥有着本质的区别。攻击者不再依靠海量的伪造报文来堵塞带宽，而是利用合法的HTTP请求，精准消耗服务器的连接池、内存和CPU资源。Slowloris（慢速攻击）就是典型的第七层攻击手法之一，通过以极低的速度发送HTTP头部或请求体，长时间占用服务器的并发连接数，最终导致正常用户无法建立新的连接。
在Nginx中，防御此类攻击的核心思路是严格限制客户端的连接生命周期与请求速率。针对慢速攻击，通过合理配置超时参数可以有效释放被恶意占用的连接。在Nginx配置文件中，clientheadertimeout决定了服务器读取客户端请求头的最长等待时间，clientbodytimeout则限制了读取请求体的超时时间。将这两个值设置在合理范围内（例如10秒以内），可以迫使Nginx主动断开那些故意拖延传输的恶意连接。同时，配合send_timeout限制向客户端发送响应的超时时间，进一步防止慢速读取攻击。
限制并发连接数是防止单一IP耗尽服务器资源的另一项重要配置。利用limitconnzone指令，可以基于客户端IP地址（$binaryremoteaddr）开辟一块共享内存区域，用于记录每个IP的当前连接数。然后在具体的server或location块中使用limit_conn指令，将单个IP的并发连接数限制在一个安全的阈值内。当某个IP的并发连接超过该值时，Nginx将直接返回503状态码，避免后端应用服务器承受过载压力。
除了连接数限制，请求速率限制对于防御CC（Challenge Collapsar）攻击同样不可或缺。limitreqzone指令基于漏桶算法（Leaky Bucket），允许运维人员严格规定某个IP在单位时间内的最大请求次数。通过配置burst参数，可以在平滑限流的同时，允许一定程度的突发合法流量。为了提供更好的用户体验，开启nodelay选项能够让突发流量在不超过阈值的情况下被立即处理，而不必在队列中排队等待。
实际工程中，参数的调优需要在安全性与业务正常运行之间找到平衡。设置过于严苛的限制会导致大量正常用户被误杀，而过于宽松则无法起到防御效果。橙星云在历次压力测试与日常防护中，通过分析访问日志中的慢请求比例与高峰期的并发曲线，不断精调这些超时与频率限制参数，保障了测评系统在高并发场景下的高可用性。
为了进一步增强防御能力，通常还会结合基于行为特征的封堵策略。例如，利用Nginx与Lua脚本的结合，实时统计各IP的404错误率或特定恶意User-Agent的请求频次，当触发预设规则时，自动将其IP加入黑名单并由系统层的防火墙（如iptables或firewalld）直接丢弃其报文。通过应用层与网络层的协同工作，构建起应对复杂应用层DDoS攻击的坚固防线。