CDN回源安全与源站隐藏：网站防护的基础配置清单

一、确认源站不能被公网直接访问

接入 CDN 后，第一步不是调缓存，而是确认真实源站地址不会被随意访问。可以通过安全组、防火墙或 Web 服务器规则限制来源，只允许 CDN 回源 IP 段访问 80、443 等业务端口。若业务需要管理后台、数据库、Redis、SSH 等服务，这些端口更不应该暴露在公网，应放在内网、堡垒机或固定管理 IP 白名单之后。配置完成后，要从外部网络直接访问源站 IP 测试，确保普通请求无法绕过 CDN。

• 安全组优先只放行 CDN 回源 IP、管理白名单和必要监控节点。
• 源站默认站点不要返回真实业务内容，避免域名未绑定也可访问。
• 后台、数据库、缓存和 SSH 端口应与网站访问入口分开管理。

二、给回源请求增加认证标识

只靠 IP 白名单有时不够，因为 CDN IP 段可能较大，也可能被同平台其他用户共享。可以在回源请求中增加自定义 Header、回源 Host 校验、时间戳签名或 Token 校验，让源站只接受带有正确标识的请求。Nginx、Apache 或应用层都可以做这类检查：没有指定 Header、Header 值错误、Host 不匹配或签名过期的请求直接拒绝。这样即使攻击者知道源站 IP，也很难伪造完整回源条件。

• 自定义 Header 的值要足够随机，不要使用简单固定词。
• 回源认证参数不要出现在前端页面、公开仓库或错误日志里。
• 签名机制要加入时间窗口，避免合法请求被长期重放。

三、缓存规则与动态接口分开设计

CDN 配置不能只追求命中率。静态资源可以设置较长缓存，动态接口、用户中心、购物车、支付回调和后台页面则要谨慎缓存。对于登录态页面，应明确 Cache-Control 规则，避免把用户私有内容缓存到公共节点。对于高风险接口，可以结合 CDN 频率限制、WAF 规则、验证码和业务限流，减少刷接口和恶意爬取。回源失败时也要避免把错误页长时间缓存，造成故障扩大。

• 静态资源按版本号或文件指纹缓存，发布时便于更新。
• 登录、支付、后台、用户资料等页面默认不做公共缓存。
• 接口限流要同时考虑 IP、账号、设备和路径等维度。

四、用日志判断是否真的经过 CDN

源站日志是验证 CDN 防护是否生效的重要依据。正常情况下，大部分用户访问源站时来源 IP 应该是 CDN 节点，并能看到真实客户端 IP 头，例如 X-Forwarded-For 或平台指定 Header。如果日志中持续出现大量非 CDN 来源直接访问业务域名或源站 IP，就说明防护链路仍有缺口。建议定期抽样分析源站访问日志，对直连请求、异常 User-Agent、扫描路径和高频 404 做告警。

• 源站日志同时记录 CDN 节点 IP 与真实客户端 IP，方便溯源。
• 直连源站的请求应被拒绝，并记录来源用于后续封禁。
• CDN 与源站时间要保持同步，便于故障和攻击事件对账。