先用一份“保留清单”做前后对照:过滤前后各导出同一时间段的原始访问明细,把被规则命中的记录单独留档,再用独立证据逐条核对。如果被删记录里出现真实用户的行为特征,说明过滤条件过宽;如果只是内部特征重复出现,误删概率就低。关键在于不要只看总量下降,而要看“谁被删掉了”。
排除内部流量后,访问总量下降是必然现象。问题在于下降来自哪里。存在两种常见解释:其一,规则确实只清除了内部设备、办公网段或测试账号;其二,规则同时命中了真实用户,比如共用出口IP的访客、使用同一浏览器指纹的普通用户,或者被误标为内部来源的移动端访问。两种解释在总量层面看起来一样,只有落到记录级别才能区分。
一个可操作的假设例子:某站点把公司出口IP整段加入排除列表。若该出口是独享固定IP,过滤后真实用户几乎不受影响;若该出口与部分外部用户共用运营商NAT地址,则同一IP下的真实访客会被一起删掉。此时总量下降幅度可能很小,但被删记录里会混入正常访问路径。这个例子说明,判断依据是IP的归属结构,而不是下降的百分比。
检查误删的核心动作是保留被过滤记录,而不是让它们直接消失。具体做法:在应用排除规则前,先按同一时间窗口导出原始访问日志或事件明细;应用规则后,再导出过滤结果;两者做差集,得到“被删清单”。接下来逐条看这份清单里的字段。
如果被删清单里出现完整的浏览路径、合理的停留间隔和多样的入口来源,就要怀疑规则过宽。反之,如果记录高度同质、集中在固定网段且行为机械,过滤更可能是正确的。
要判断是否误删真实访问,需要三类证据互相印证,而不是依赖单一指标。
需要说明的是,请求量或抓取量归零不能单独证明处理正确。它也可能是采集中断、日志未落盘、规则误伤或统计口径变化造成的。把这些现象当成唯一证据,容易把误删当成正常过滤。
一旦被删清单里出现真实行为特征,下一步不是直接关掉全部过滤,而是缩小规则范围。具体动作:把整段IP排除改为具体设备或账号级排除;把宽泛的User-Agent匹配改为精确匹配;对共用出口地址改用行为特征组合判断,而不是单看来源。
调整后重新执行同一套前后对照:再次导出被删清单,检查真实行为特征是否减少,同时确认内部流量是否仍被有效识别。如果真实特征消失而内部特征保留,说明规则收窄有效;如果内部流量开始混入统计,说明收窄过度,需要补充其他区分条件。这个动作的结果会直接决定下一步是继续微调规则,还是接受当前过滤范围。
个别样本成立不代表整体成立。小范围测试时,某条规则可能看起来只删除了内部访问;当访问量放大、来源变复杂后,共用出口、代理、移动网络和第三方工具的访问会进入同一规则范围,例外随之出现。因此,检查误删不能只做一次,而要在流量结构变化后重复执行保留清单对照。
适用条件也需要明确:保留清单法依赖原始明细可导出、规则命中原因可追溯、存在独立日志可交叉验证。如果这些条件不具备,就只能做粗略判断,不能据此断定某条规则一定误删或一定正确。把边界写清楚,比给出一个笼统的“安全过滤比例”更有用。