上周朋友老张在茶水间吐槽：‘我们公司搞攻防演练，测试邮件发不出去，OA卡了半小时，客户都以为系统崩了。’这话听着挺吓人，但真有那么夸张吗？
攻防演练不是黑客入侵，更像一次“压力体检”
很多人一听‘攻防’就脑补黑衣人敲键盘、服务器冒红光的画面。其实正规的攻防演练，是提前跟运维、开发、业务部门打过招呼的——就像医院预约体检，不是半夜突然冲进办公室抽血。演练前会划定范围（比如只测测试环境、或限定时间段内访问特定接口），还会避开财务月结、大促上线这类敏感节点。
影响大小，关键看这三点
第一，有没有做预案。比如某电商团队把演练安排在凌晨2点，只压测搜索接口，同时把首页流量自动切到静态缓存页；用户根本感觉不到异常，后台却摸清了峰值承载力。
第二，工具是否轻量。有些团队用脚本疯狂刷登录页，结果数据库连接池被打满；而另一些人用模拟真实用户行为的低频请求（比如每秒10次点击+停留+跳转），既验出逻辑漏洞，又不卡主业务。
第三，业务系统本身健壮性如何。如果平时连日志都没归档、接口没限流、数据库没读写分离，那哪怕只是开个扫描器，也可能触发雪崩。这时候问题不在演练，而在日常维护早该补的课。
生活化的小建议
如果你是行政或IT支持岗，可以主动问一句：‘这次演练会动哪些页面？大概持续多久？有没有临时替代方案？’——把信息同步给前台、客服、销售，他们就能提前跟客户说‘系统正在优化升级，预计15分钟内恢复’，而不是等投诉来了才手忙脚乱。
小公司别硬抄大厂流程。用一台旧电脑装个开源靶机（如DVWA），让两位同事轮流扮演‘攻击方’和‘防守方’，花半天时间试试改密码、绕登录，比盲目上复杂平台更有收获。
说到底，攻防演练不是给业务添堵的考试，而是帮系统‘强筋健骨’的过程。练得越贴近真实场景，出问题时就越镇得住场子。