攻击流量涌入时，全部请求一起限流，可能误伤支付状态更新；只放行支付和登录，也可能让攻击者借入口耗尽资源。要解决“攻击期间如何保障支付回调和登录入口优先可用”，关键不是选一个入口放宽限制，而是分别识别、隔离和分配资源。
先分清两类入口的风险
支付回调通常由外部支付服务通知订单状态，可能重复发送，也可能因网络故障延迟到达。处理时要验证签名或使用供应方提供的认证方式，以订单号、事件编号等实现幂等，避免重复扣账或重复发货。不要仅凭来源地址放行：地址范围可能变化，也不能单独证明请求真实。
登录入口面向用户，攻击常见表现包括大量密码尝试、撞库和自动化注册。它需要保护认证服务与账号，同时避免仅按单个 IP 严格封禁，因为企业网络、校园网或移动网络下，许多用户可能共享出口地址。
限流与可用性保障应同时做
限流负责控制过量请求，可用性保障负责让关键业务在剩余容量内继续工作。做法是把回调、登录和普通页面请求分开计量、排队和设置并发上限；攻击期间给关键路径预留容量，并限制低优先级功能。这样不会因单一入口拥塞而拖垮整个服务。
支付回调：先可靠接收，再异步处理
回调处理应尽量短：完成认证、检查必要字段，将事件可靠写入持久队列或数据库后，再返回供应方要求的成功响应；业务后续处理由独立工作进程完成。如果存储未成功，不要提前确认已接收，否则可能丢失状态变化。队列积压时，按事件重要性处理，并监控重试和重复事件。
登录入口：逐级增加摩擦
可按账号、来源网络和设备信号组合限速，针对异常行为再启用自适应验证码、短暂延迟或额外验证。避免连续失败就长时间锁死账号，这会给攻击者提供阻断他人登录的手段。注册、找回密码与正常登录也应分开设限，防止一种操作的流量挤占另一种操作。
攻击发生时的可执行顺序
- 确认异常范围：分别观察回调成功率、登录成功率、请求速率、队列积压和认证服务负载，并与平时同一时段比较。
- 启用分路策略：将回调、登录和普通请求放到独立的限流规则与容量池中；先收紧明显异常的来源和行为，不要直接对所有请求统一封禁。
- 保障关键处理：为回调接收、登录认证预留并发和存储能力，暂时关闭非必要的高消耗功能；必要时让页面展示只读或稍后重试状态。
- 小步调整并复核：每次调整后检查误拦截、回调积压、重复处理和登录失败情况。恢复流量时逐步撤销临时规则，并核对订单与认证记录。
限额不宜照搬固定数字。应根据平时峰值、应用容量、外部支付服务的重试方式和业务容忍延迟来设定；没有历史基线时，先采用较保守的分路限制，再依据观测逐步调整。
常见问题
回调流量也要限流吗？
要，但应独立设置上限和优先级。上限应结合正常回调峰值与可处理能力，不能简单照用登录入口的规则。
攻击期间能否直接放开支付回调？
不建议。放开认证不足的回调会带来伪造请求风险；应先验证请求，并确保接收、幂等和队列处理可靠。
只有一个入口容量池时怎么办？
先在网关或应用层按路径、账号及请求特征分组限流，减少非关键功能占用；之后再建设独立容量池，降低单点拥塞影响。
归根结底，攻击期间如何保障支付回调和登录入口优先可用，答案是分别保障、差异限流，并用监控和逐步调整避免误伤。限流是控风险的手段，关键业务的隔离与可靠处理才是可用性的基础。