意外 DDoS：一个 React 括号触发了 10 万次 API 请求，拖垮了数据库
来源：dev.to — 2026-08-12 · 7 min 阅读
📋 概述
DEV 夏季 Bug Smash 参赛作品。作者在一个平静的周二部署了「用户偏好」仪表盘卡片，三分钟后团队 Slack 被 99.8% CPU 和超过 8 秒的网关响应刷屏。不是外部攻击，而是自伤：那个卡片让浏览器陷入无限渲染循环，每秒数千次狂打 /api/user-preferences。作者借助 Sentry 的事务峰值定位到 /dashboard/settings，再用会话重放完整还原了循环过程。根因是一个写错的 React 括号。
🔑 核心要点
- 一次常规部署引发的无限渲染循环，造成自伤式 DDoS。
- 单页面每秒数千次命中 /api/user-preferences，数据库 CPU 冲到 99.8%。
- 用 Sentry 事务峰值瞬间定位到 /dashboard/settings。
- 会话重放完整还原了浏览器端的无限循环。
- 根因是单个 React 括号导致的渲染死循环。
💡 金句
我们不是在经受外部攻击，我们是在 DDoS 自己。
👍 0
👎 0
← 返回 dev.to 首页